What is CVE-2026-65901?
A cross-site scripting vulnerability in DOMPurify versions up to 3.4.6, specifically in IN_PLACE mode, allows attackers to clobber the nodeName of live DOM nodes, making malicious elements with real script children appear as allowed. This can lead to successful XSS attacks when processing attacker-controlled DOM objects. Users should update DOMPurify to the latest patched version and implement additional validation for untrusted DOM structures.
Azərbaycanca: DOMPurify 3.4.6-ya qədər versiyalarda, IN_PLACE rejimində attacker tərəfindən idarə olunan canlı DOM node-larında nodeName-in saxtalaşdırılması (clobbering) yolu ilə XSS zəifliyi aşkarlanmışdır. Bu zəiflik tətbiqin icazəli element kimi tanıdığı, lakin gerçək script uşaqları daşıyan zərərli DOM obyektlərini təqdim etməyə imkan verir. Tərtibatçılar DOMPurify-ni ən son versiyaya yeniləməli və etibarsız mənbələrdən gələn DOM strukturlarına qarşı əlavə yoxlamalar tətbiq etməlidir.
Related CVEs
link basis: same weakness class CWE-79
FAQ1
In which mode of DOMPurify does the nodeName clobbering vulnerability lead to XSS?
This vulnerability occurs in the IN_PLACE mode of DOMPurify. In this mode, attackers can clobber the nodeName of live DOM nodes, making malicious elements appear as allowed by the application.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.