GitHub 安全公告库 (GHSA)·· 6 小时前精选AI 评分58
DOMPurify 3.4.16 对 GHSA-p98j-92pf-mc4p 的修复不完整，IN_PLACE hook 删除父节点或兄弟节点仍可触发 XSS
DOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
AI 导读
DOMPurify 3.4.16 针对 GHSA-p98j-92pf-mc4p 的修复不完整：_handleHookDetachedNode() 只检查 hook 自身节点是否失去父节点，当 IN_PLACE hook 删除当前节点的父节点或尚未访问的兄弟节点时，该子树不会被遍历或中和，事件处理器保留。
为什么值得看
材料给出可运行的 jsdom 与浏览器复现，说明 3.4.16 的修复只覆盖 hook 删除自身节点的情况，使用 IN_PLACE 的应用可据此自查。
来源：GitHub 安全公告库 (GHSA) · github.com