CVE-2026-83609 in xmldom
الملخص
بحسب VulDB • 01/09/2026
يُعد xmldom وحدة DOMParser و XMLSerializer تعتمد على معيار W3C (XML DOM Level 2 Core) وتكتب بلغة JavaScript البحتة. من الإصدار 0.9.0 حتى 0.9.12، يقوم مُنشئ reg() المشترك في lib/grammar.js بترجمة المُتحقق anchored QName_exact باستخدام العلم multiline، مما يجعل ^ و $ يتحققان فقط من سطر واحد بدلاً من الاسم الكامل. ونتيجةً لذلك، تقبل الدوال createElementNS و createAttributeNS و createDocumentType و createAttribute اسماً XML غير صالح (malformed) يكون فيه السطر الأول صحيحاً بينما يُحقن النص اللاحق علامات (markup) عند التسلسل عبر المسار الافتراضي أو باستخدام requireWellFormed: true. محددات نهاية الأسطر ECMAScript المُسببة للمشكلة هي U+000A و U+000D و U+2028 و U+2029. تم إصلاح هذه المشكلة في الإصدار 0.9.12 من @xmldom/xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.