DOMPurify — XSS via attributs SVG en mode XHTML

Veille sécuritéFrontend

P4Moyenne

DOMPurify avant 3.4.17 présente un contournement du filtrage XSS dans certaines configurations XHTML : la casse de l’attribut attributeName n’est pas normalisée, ce qui peut laisser passer une référence javascript: dans un SVG. Mettre à jour vers DOMPurify 3.4.17 ou ultérieur ; le scénario décrit dépend notamment du mode XHTML et des éléments et attributs autorisés.

IdentifiantCVE-2026-116802

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.4.17

Source : CVE-2026-116802 — NVD

Analyse technique

En mode application/xhtml+xml, transformCaseFunc ne met pas les noms d’attributs en minuscules ; la vérification de attributeName peut donc échouer. L’exploitation décrite nécessite une configuration autorisant les éléments SVG animate ou set ainsi que attributeName.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-27 à 00:17:11.637Z, soit le 2026-10-27 à 02:17:11.637+02:00, dans la période demandée. La vulnérabilité et le correctif DOMPurify 3.4.17 sont corroborés par les résultats de recherche consultés.

ImpactExécution de JavaScript dans le navigateur d’un utilisateur lorsque le contenu SVG assaini est rendu et que le lien concerné est activé.

Versions affectéesDOMPurify avant 3.4.17

Version corrigée3.4.17

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

EPSS0,22% · percentile 12,1%

Publication2026-10-27T00:17:11.637Z

Mise à jour2026-10-27T15:06:33.620Z

Détection / vérification

Vérifier la version de DOMPurify utilisée et si la configuration active le mode application/xhtml+xml avec les éléments animate ou set et l’attribut attributeName autorisés.

Action recommandée

Mettre à jour DOMPurify vers la version 3.4.17 ou ultérieure et vérifier les réglages XHTML/SVG de l’assainisseur.

Sources

CVE-2026-116802 — NVD

Priorisation DFS : P4 · 1 source(s).