DOMPurify 3.4.6 fix IN_PLACE mode DOM Clobbering bypass and XSS vulnerabilities

漏洞概述 DOMPurify 3.4.6 版本修复了多个与 DOM Clobbering 相关的安全问题，特别是在 模式下。这些问题包括： 1. DOM Clobbering 问题：在 模式下，DOMPurify 存在多个漏洞，可能导致恶意用户通过 DOM Clobbering 攻击绕过安全限制。 2. 跨域和 Shadow DOM 检查：增强了对跨域和 Shadow DOM 的 sanitization 检查，以防止潜在的 XSS 攻击。 3. 测试覆盖：增加了对 模式和一般 DOM Clobbering 攻击的测试覆盖，确保这些漏洞得到有效修复。 影响范围 受影响版本：DOMPurify 3.4.6 之前的版本。 攻击场景：主要在 模式下，攻击者可能通过 DOM Clobbering 技术绕过 sanitization 机制，执行恶意脚本。 修复方案 1. 修复 DOM Clobbering 问题： - 修复了多个与 DOM Clobbering 相关的问题，特别是在 模式下。 - 感谢 @offset 和 @Bankde 的贡献。 2. 增强安全检查： - 增强了对跨域和 Shadow DOM 的 sanitization 检查，防止潜在的 XSS 攻击。 - 同样感谢 @offset 和 @Bankde 的贡献。 3. 增加测试覆盖： - 增加了对 模式和一般 DOM Clobbering 攻击的测试覆盖，确保这些漏洞得到有效修复。 4. 依赖更新： - 尽可能更新了多个依赖项，以提高整体安全性。 贡献者 Barkde 和 offset 是该版本的主要贡献者。 资产 3.4.6 版本文件： - - - - - - - - - - 源代码（zip 和 tar.gz） 总结 DOMPurify 3.4.6 版本通过修复多个 DOM Clobbering 相关的安全问题，增强了对跨域和 Shadow DOM 的检查，并增加了测试覆盖，显著提高了库的安全性。建议用户尽快升级到 3.4.6 版本以防范潜在的安全风险。

目標達成すべての支援者に感謝 — 100%達成しました！

DOMPurify 3.4.6 fix IN_PLACE mode DOM Clobbering bypass and XSS vulnerabilities

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

DOMPurify 3.4.6 fix IN_PLACE mode DOM Clobbering bypass and XSS vulnerabilities

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！