何が起きたか
SAFE_FOR_TEMPLATES と DOM を返すモード（RETURN_DOM・RETURN_DOM_FRAGMENT・IN_PLACE）を併用すると、{{...}} や ${...} のようなテンプレート式が、取り付けられた Shadow Root の文字列の中に残ります。禁止要素で式を分割して渡すと、要素の除去後に式がつながって生き残ります。
やること
dompurify を 3.4.17 へ更新します。サニタイズ結果を Angular や Vue などのテンプレートエンジンに渡している場合は、更新までの間 IN_PLACE と RETURN_DOM の併用を避けてください。