What is CVE-2026-65903?
A logic error in the ADD_TAGS function in DOMPurify before version 3.4.0 allows bypassing FORBID_TAGS restrictions due to short-circuit evaluation. Attackers can craft input where forbidden tags, if also added via ADD_TAGS, are not removed. Upgrading to version 3.4.0 or later is necessary to mitigate this issue.
Azərbaycanca: DOMPurify kitabxanasının 3.4.0 versiyasından əvvəlki versiyalarında ADD_TAGS funksiyasında məntiqi səhv aşkarlanıb. Bu səhv FORBID_TAGS siyahısındakı qadağan edilmiş teqlərin short-circuit evaluation nəticəsində saxlanılmasına səbəb olur. İstifadəçilər dərhal 3.4.0 və ya daha yeni versiyaya yeniləmə etməlidir.
FAQ2
In which function does the logic error exist in DOMPurify versions prior to 3.4.0?
A logic error exists in the ADD_TAGS function in DOMPurify versions prior to 3.4.0.
How does the error in the ADD_TAGS function affect the FORBID_TAGS list?
The logic error in the ADD_TAGS function allows forbidden tags in the FORBID_TAGS list to be retained due to short-circuit evaluation.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.