What is CVE-2026-66010?
In DOMPurify versions before 3.4.12, the afterSanitizeElements hook is not executed for custom elements allowed via CUSTOM_ELEMENT_HANDLING.tagNameCheck. This flaw enables attackers to preserve sensitive attributes on custom elements, which can later re-inject them into innerHTML, bypassing application security policies. Users should upgrade to version 3.4.12 or later immediately.
Azərbaycanca: DOMPurify 3.4.12-dən əvvəlki versiyalarda CUSTOM_ELEMENT_HANDLING.tagNameCheck ilə icazə verilmiş xüsusi elementlər üçün afterSanitizeElements hook işlədilmir. Bu qüsur səbəbindən təcavüzkarlar həssas atributları qoruyub saxlaya və sonradan tətbiqin təhlükəsizlik siyasətlərini keçə bilərlər. İstifadəçilər dərhal 3.4.12 və ya daha yeni versiyaya yeniləməlidir.
FAQ2
Which versions of DOMPurify are affected by CVE-2026-66010?
All versions of DOMPurify before 3.4.12 are affected by this vulnerability.
What does this flaw allow attackers to do?
This flaw enables attackers to preserve sensitive attributes on custom elements allowed via CUSTOM_ELEMENT_HANDLING.tagNameCheck, and later re-inject them into innerHTML, bypassing application security policies.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.