En mode XHTML, DOMPurify peut ne pas appliquer une protection sur `attributeName` lorsque la casse est préservée, dans une configuration non par défaut autorisant certains éléments SVG. Une animation SMIL malveillante peut alors modifier le lien après nettoyage et mener à l’exécution de script lors d’un clic.
Source : GHSA-c6gr-qvv4-5v3f — DOMPurify
Analyse technique
L’avis décrit une faille de durcissement en configuration non par défaut, sans CVE fournie. En mode XHTML, la comparaison de nom d’attribut ne normalise pas la casse, ce qui permet de conserver `attributeName` dans les conditions décrites.
Impact, versions et correctif
Détection / vérification
Vérifier l’usage de DOMPurify en mode `application/xhtml+xml` avec `animate`, `attributeName` autorisés et des valeurs non fiables.
Action recommandée
Mettre à niveau vers DOMPurify 3.4.17; examiner les configurations XHTML qui autorisent `animate` et `attributeName`.
Sources
Priorisation DFS : P4 · 1 source(s).