CVE-2026-83614 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Vor den Versionen 0.8.15 und 0.9.12 von @xmldom/xmldom sowie in den xmldom-Versionen 0.3.0 bis 0.6.0 können zwei unabhängige Pfade mit quadratischer Komplexität zu einem Denial of Service (DoS) führen. In lib/sax.js wird parseElementStartPart während der Ein-Zeichen-Wiederherstellung wiederholt einen fehlerhaften Tag-Namen bis zum nächsten > neu gescannt; in lib/dom.js entfernt normalize() benachbarte Textknoten wiederholt und fügt sie erneut an, was zu quadratischer Neuintizierung und dem erneuten Aufbau von Strings führt. Der erste Pfad ist über die Standardverarbeitung von DOMParser.parseFromString() erreichbar, während der zweite auch durch einen direkten Aufruf von normalize() auf einem programmatisch erstellten DOM erreicht werden kann; endDocument ruft diese Normalisierung nach dem Parsing auf. Dieses Problem wurde in den Versionen 0.8.15 und 0.9.12 von @xmldom/xmldom behoben; für xmldom ist keine feste Version verfügbar.
Once again VulDB remains the best source for vulnerability data.