В DOMPurify до версии 3.2.5 и до версии 6bc6d60 файл scripts/server.js не гарантирует, что путь находится в текущем рабочем каталоге. Приме…

В DOMPurify до версии 3.2.5 и до версии 6bc6d60 файл scripts/server.js не гарантирует, что путь находится в текущем рабочем каталоге. Примечание: поставщик оспаривает значимость этого отчета, поскольку «Неконтролируемые данные, используемые в выражении пути», встречаются «в вспомогательном скрипте разработки, который запускает локальный веб-сервер, если это необходимо, и должен быть запущен вручную». Источники: - [1] https://github.com/odaysec/advisory/blob/main/cure53/DOMPurify/writeup.md - [2] https://github.com/cure53/DOMPurify/pull/1101 - [3] https://github.com/cure53/DOMPurify/commit/6bc6d60e49256f27a4022181b7d8a5b0721fd534 - [4] https://security.snyk.io/vuln/SNYK-JS-DOMPURIFY-10176060