CVE-2026-83616 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Vor den Versionen 0.8.15 und 0.9.12 von @xmldom/xmldom sowie in xmldom-Versionen 0.6.0 und älter akzeptiert Document.createProcessingInstruction(target, data) in lib/dom.js ein nicht validiertes Ziel (target). Der Serializer mit requireWellFormed: true überprüft auf Version 0.9.x nur das Vorhandensein eines Doppelpunkts sowie den reservierten, case-insensitiven xml-Namen und führt bei Versionen der 0.8.x-Reihe keine Target-Prüfung durch. Da die Serialisierung <?target data?> ausgibt, kann ein Ziel (Target), das Zeichen wie >, ?, Leerzeichen oder andere ungültige XML-Namenszeichen enthält, die Grenze der Processing Instruction brechen und XML-Struktur injizieren. Dieses Problem wurde in den Versionen 0.8.15 und 0.9.12 von @xmldom/xmldom behoben; für xmldom ist keine feste Version verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.