What is CVE-2026-75838?
DOMPurify versions before 3.4.13 contain a cross-site scripting vulnerability in the IN_PLACE sanitization mode. The element-removal hooks fail to neutralize detached subtrees, allowing event handlers on descendant elements to execute after sanitization is complete. Users should upgrade to version 3.4.13 or later.
Azərbaycanca: DOMPurify kitabxanasının 3.4.13 versiyasından əvvəlki versiyalarında IN_PLACE sanitizasiya rejimində aşkarlanan XSS zəifliyidir. Təmizləmə prosesindən sonra belə detached subtrees üzərindəki event handler-lərin işə düşməsi nəticəsində təcavüzkarlar ixtiyari skript icra edə bilər. Kitabxananı ən az 3.4.13 versiyasına yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-79
FAQ2
Which versions of DOMPurify are affected by the CVE-2026-75838 XSS vulnerability?
All versions of DOMPurify prior to 3.4.13 are affected by this vulnerability.
What action should be taken to remediate the CVE-2026-75838 vulnerability?
Users should upgrade to version 3.4.13 or later.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.