CVE-2026-83611 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Vor den Versionen 0.8.15 und 0.9.12 von @xmldom/xmldom sowie in xmldom-Versionen 0.6.0 und älter kann DOMParser.parseFromString() ein End-Tags wie </a\njunk> stillschweigend akzeptieren, das Element schließen und den nachfolgenden Inhalt verwerfen. In der Versionsserie 0.9.x erbt der End-Tag-Validator in lib/sax.js das Multiline-Flag von reg(), wodurch die erste Zeile die verankerte XML ETag-Produktion erfüllt; ältere Zeilen verfügen über keine entsprechende Restvalidierung. Diese Parser-Diskrepanz kann eine Parse-before-trust-Wohlgeformtheitsprüfung umgehen, obwohl der verworfene Inhalt nicht injiziert wird; onError in 0.9.x und errorHandler in 0.8.x sind die relevanten Meldeschnittstellen. Dieses Problem wurde in den Versionen @xmldom/xmldom 0.8.15 und 0.9.12 behoben; für xmldom ist keine feste Version verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.