CVE-2026-47423-dompurify-xss-detector

DOMPurify 的重新克隆逻辑缺陷。 该工具不依赖容易被剥离的源码注释或版本变量，而是通过逻辑指纹识别技术分析压缩的生产环境 JavaScript 包，识别未修补的允许标签配置。 漏洞概要 在 DOMPurify 版本 3.4.4 及之前， 元素默认被允许。这引入了一个逻辑缺陷：Chromium/WebKit 浏览器会在 DOMPurify 完成消毒处理后，刷新并重新克隆 子树，导致当负载被注入实时 DOM 时，发生绝对 XSS 绕过。 功能特性 框架无关（适用于 React、Vue、Angular 或原生 JS 包结构） 从根路径自动解析动态 JS 资源...