CVE-2026-83608 in xmldom
الملخص
بحسب VulDB • 01/09/2026
يُعد xmldom وحدة DOMParser وXMLSerializer تعتمد على معيار W3C (DOM Level 2 Core) وتكتب بلغة JavaScript البحتة. قبل إصدارات @xmldom/xmldوم الإصدارين 0.8.15 و0.9.12، وفي إصدار xmldom 0.6.0 والإصدارات الأقدم، يقوم فرع DOCUMENT_TYPE_NODE في lib/dom.js بالتحقق من صحة الحقول publicId وsystemId وinternalSubset عند تفعيل requireWellFormed: true، لكنه يُرجع قيمة DocumentType.name كما هي دون معالجة. يمكن لاسم يحتوي على حرف > أو مسافات أن ينهي إعلان <!DOCTYPE ...> ويحقن علامات HTML/XML متجاورة؛ ويمكن تزويد هذه القيمة عبر دالة createDocumentType() في فروع 0.8.x والإصدارات غير المقيدة (unscoped)، أو عن طريق الكتابة المباشرة إلى خاصية DocumentType.name في كل الإصدارات المتأثرة. يظل المسار الافتراضي وسلوك الإنشاء القديم متساهلين، بينما يفشل المسار الصالح المعرض للثغرة في فرض صيغة XML Name صحيحة. تم إصلاح هذه المشكلة في إصدارات @xmldom/xmldom 0.8.15 و0.9.12؛ ولا يتوفر أي إصدار مُصلح لـ xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.