DOMPurify: reutilização de instância pode reter política de tipos confiáveis
Uma instância DOMPurify reutilizada entre limites de confiança pode reter uma TRUSTED_TYPES_POLICY fornecida anteriormente, mesmo após clearConfig() ser chamado
O que mudou
Uma instância DOMPurify reutilizada entre limites de confiança pode reter uma TRUSTED_TYPES_POLICY fornecida anteriormente, mesmo após clearConfig() ser chamado, fazendo com que chamadas sanitize posteriores com RETURN_TRUSTED_TYPE retornem TrustedHTML criado pela política antiga em vez de um padrão limpo.
Quem isso afeta
Aplicações que reutilizam uma única instância DOMPurify entre múltiplas integrações, plugins, manipuladores de requisição ou componentes com diferentes níveis de confiança, e que dependem de clearConfig() para restaurar padrões seguros.
O que fazer hoje
Revise seu uso de DOMPurify para instâncias compartilhadas entre limites de confiança e aplique a correção sugerida: redefina trustedTypesPolicy e emptyHTML em clearConfig() ou em _parseConfig() quando TRUSTED_TYPES_POLICY for nulo.