Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-cg2g-xh64-v4q7 për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën dompurify të ekosistemit npm.
Paketat e prekura
- dompurify (npm) — versionet e prekura:
>= 3.4.4, <= 3.4.16; versioni me rregullim:3.4.17
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))
- Identifikuesit: GHSA-cg2g-xh64-v4q7
Përmbledhja zyrtare
Anashkalim i SAFE_FOR_TEMPLATES në DOMPurify: shprehjet e ndara të shablloneve mbeten në shadow root të bashkëngjitur kur dalja është DOM
Kur DOMPurify konfigurohet me SAFE_FOR_TEMPLATES: true dhe një modalitet që kthen DOM, shprehje shabllonesh si {{…}}, ${…} dhe
Çfarë duhet të bëni
Nëse projektet tuaja përdorin dompurify, përditësojeni sa më shpejt në versionin 3.4.17 ose më të ri.
