CVE-2026-83606 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Von der Version 0.9.0-beta.9 bis zur Version 0.9.11 ermöglicht die production rule „processing-instruction“ in lib/grammar.js es einem gierigen S+-Trennzeichen und einer faulen Char*?-Datengruppe, eine lange Leerzeichenfolge wiederholt neu aufzuteilen, wenn das erforderliche schließende ?> fehlt. Sowohl parsePI als auch parseProcessingInstruction wenden den Ausdruck auf die gesamte verbleibende Quelle an, was bei Standardoptionen zu quadratischem Backtracking während DOMParser.parseFromString() führt und es einem kleinen, nicht authentifizierten XML-Eingabedatenstrom ermöglicht, die Node.js-Event-Schleife zum Stillstand zu bringen. Dieses Problem wurde in der Version 0.9.11 von @xmldom/xmldom behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.