DOMPurify XHTML 模式 SMIL 守卫绕过 PoC 公开
热点事件持续更新
DOMPurify XHTML 模式 SMIL 守卫绕过 PoC 公开
1 篇报道1 个报道来源4 小时前更新
先了解这件事
AI 综述
研究者公开了 DOMPurify 在 PARSER_MEDIA_TYPE 设为 application/xhtml+xml 时的 SMIL 守卫绕过 PoC 与复现脚本：当应用同时允许 animate 和 attributeName 时，attributeName=href 的防护会失效，构造内容得以保留，可导致 XSS。研究者称已在 DOMPurify 3.4.16（Chrome 153 无头模式）复现，并在 3.3.3、3.3.1、3.2.7 上重现；2.x 未确认。 该问题需要非默认配置，研究者据此称按 SECURITY.md 属于加固缺陷，而非默认配置被绕过。默认配置和 text/html 模式不受影响。
AI 根据报道生成 · 4 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
10月23日
- GitHub 安全公告库 (GHSA)精选DOMPurify 在 application/xhtml+xml 解析模式下 SMIL attributeName=href 防护失效
GitHub 安全公告 GHSA-c6gr-qvv4-5v3f 指出，DOMPurify 在 PARSER_MEDIA_TYPE 设为 application/xhtml+xml 时。
本事件热度走势
- 可比范围当前
- 9
- 可比范围峰值
- 1010月23日 01:00
- 近 24 小时变化
- –
02.557.510
01:0002:0003:00
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。