DOMPurify 在 application/xhtml+xml 解析模式下 SMIL attributeName=href 防护失效
GitHub 安全公告 GHSA-c6gr-qvv4-5v3f 指出，DOMPurify 在 PARSER_MEDIA_TYPE 设为 application/xhtml+xml 时。
为什么值得看：材料给出可运行的 PoC 脚本与复现步骤，说明 XHTML 解析模式下 SMIL 属性名大小写差异如何让过滤失效。
#浏览器
GitHub 安全公告库 (GHSA)精选AI 评分5858 GitHub 安全公告库 (GHSA)精选AI 评分5858 DOMPurify 3.4.16 对 GHSA-p98j-92pf-mc4p 的修复不完整，IN_PLACE hook 删除父节点或兄弟节点仍可触发 XSS
DOMPurify 3.4.16 针对 GHSA-p98j-92pf-mc4p 的修复不完整：_handleHookDetachedNode() 只检查 hook 自身节点是否失去父节点，当 IN_PLACE hook 删除当前节点的父节点或尚未访问的兄弟节点时，该子树不会被遍历或中和，事件处理器保留。
为什么值得看：材料给出可运行的 jsdom 与浏览器复现，说明 3.4.16 的修复只覆盖 hook 删除自身节点的情况，使用 IN_PLACE 的应用可据此自查。
GitHub 安全公告库 (GHSA)AI 评分3434 DOMPurify SAFE_FOR_TEMPLATES 绕过：附加 shadow root 中拆分模板表达式在 DOM 输出模式下存活
DOMPurify 在同时启用 SAFE_FOR_TEMPLATES 与 RETURN_DOM、RETURN_DOM_FRAGMENT 或 IN_PLACE 时，附加 shadow root 文本内容中的 {{...}}、${...} 等模板表达式可绕过净化存活。
The Hacker NewsAI 评分2222 Google Chrome 为 Enhanced Protection 用户新增 ClickFix 警告，拦截恶意命令粘贴
Google 在 Chrome 中为启用 Enhanced Protection 的用户新增 ClickFix 防护：用户复制可疑命令后，剪贴板内容会去除个人信息并送 Safe Browsing 分析，判定危险即弹出警告。
GitHub 安全公告库 (GHSA)AI 评分3434 ammonia 修复 MathML annotation-xml 编码剥离导致的 mXSS 漏洞
ammonia 存在 mXSS 漏洞：当同时启用 math 与 annotation-xml 标签、但禁用 encoding 属性时，annotation-xml 与其他 MathML/SVG 集成点标签行为不同，命名空间过滤未能正确剥离不兼容标签，攻击者可注入任意 JavaScript。
Red Hat CVE 数据库AI 评分5353 Red Hat 通告 chromium-browser 的 SVG use-after-free 可致任意代码执行 CVE-2026-113339
Red Hat CVE 数据库收录 CVE-2026-113339，chromium-browser 的 SVG 组件存在 use-after-free 问题，可导致任意代码执行。通告未给出受影响版本区间与修复版本信息。
Red Hat CVE 数据库AI 评分2626 Red Hat 通告 chromium-browser 蓝牙信息泄露漏洞（特制 HTML 页面触发）
Red Hat 发布 chromium-browser 安全通告，指出蓝牙组件存在信息泄露问题，可通过特制 HTML 页面触发。通告未在正文中给出 CVE 编号、受影响版本区间、CVSS 分数及修复版本。
GitHub 安全公告库 (GHSA)精选AI 评分5858 Angular HttpClient 修复不完整导致 XSRF Token 经 URL 解析差异外泄（CVE-2025-66035 后续）
GitHub 安全公告指出，@angular/common 的 HttpClient 对 CVE-2025-66035 的修复不完整，xsrfInterceptorFn 使用的正则 /^(?
为什么值得看：公告说明了正则与 WHATWG URL 解析差异导致 XSRF token 外泄的条件，并给出 20.3.34 与 21.0.3 的修复版本。
GitHub 安全公告库 (GHSA)精选AI 评分5858 ApostropheCMS 4.x 客户端原型污染致 DOM XSS，公开复现步骤
ApostropheCMS 的 apos.http.parseQuery() 未过滤 __proto__、constructor、prototype 键，管理界面在每次已登录页面加载时用 window.location.search 调用该函数。
为什么值得看：披露给出可复现的 URL 载荷与 sink 调用栈，并区分了 ApostropheCMS 自身缺陷与 Vue 框架通用 gadget。
Mozilla 安全博客 (MFSA)精选AI 评分7878 eMudhra 八个中间证书私钥泄露，Mozilla 通过 OneCRL 吊销并发布 Firefox 158.0.1
Mozilla 于 10 月 17 日 20:06 UTC 收到报告，称 8 张 eMudhra 中间证书的私钥已泄露，攻击者可借此为不受控网站签发伪造 HTTPS 证书，在拦截用户连接时冒充网站并读取或修改流量。
为什么值得看：Mozilla 披露 eMudhra 八个中间证书私钥泄露后的处置过程，从收到报告到 OneCRL 全量下发不到 3 小时，可作为证书吊销响应流程的参考。