DOMPurify のテンプレート処理におけるサニタイズバイパスの脆弱性

DOMPurify において、特定の非デフォルト設定（SAFE_FOR_TEMPLATES: true および DOM を返すモード）を使用している際、アタッチされたシャドウドルート内のテンプレート表現の処理に不備が存在する。攻撃者は、無効な要素によって分離された複数のテキストノードにテンプレート表現を分割して配置することで、サニタイズ処理をすり抜けさせることができる。サニタイズ時に分離要素が削除されると、断片が結合して完全な式となり、下流のテンプレートエンジンによって評価されることで、クライアントサイドではクロスサイトスクリプティング、サーバーサイドのテンプレートコンテキストではテンプレートインジェクションに発展するおそれがある。