CVE-2026-83605 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Vor den Versionen 0.8.14 und 0.9.11 von @xmldom/xmldom sowie in xmldom-Version 0.6.0 und älter ruft Element.setAttribute() den privaten Pfad _createAttribute(name) auf, ohne den Attributnamen zu validieren, während Document.createAttribute(name) gegen QName validiert wird. XMLSerializer.serializeToString() gibt Attributnamen unverändert aus, und requireWellFormed: true hat diese nicht überprüft, sodass ein speziell angefertigter Name das beabsichtigte Attribut terminieren und zusätzliche Attribute, einschließlich Event-Handler, in die vom Browser verarbeitete Ausgabe injizieren kann; synthetisierte xmlns:PREFIX-Deklarationen zeigen dieselbe unüberprüfte Namengrenze auf. Dieses Problem wurde in den Versionen 0.8.14 und 0.9.11 von @xmldom/xmldom behoben; für xmldom ist keine feste Version verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.