CVE-2026-83617 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Von Version 0.9.11 bis 0.9.12 verwenden die `requireWellFormed: true`-Prüfungen für Element- und Attributnamen den von `reg()` in lib/grammar.js erzeugten, verankerten QName_exact-Ausdruck, der das Multiline-Flag erbt. Ein Name mit einer gültigen ersten Zeile, gefolgt von U+000A, U+000D, U+2028 oder U+2029 sowie einem Ausbruchsmarkup (breakout markup), wird daher als valide akzeptiert und in den Start- und End-Tags von Elementen bzw. Attributnamen wörtlich ausgegeben. Dies umgeht die für frühere Advisory-Hinweise zu Injection über Element- und Attributnamen eingeführten strikten Serialisierungsprüfungen, während der Standard-Serialisierungspfad außerhalb dieser strengen Garantie bleibt. Dieses Problem wurde in @xmldom/xmldom Version 0.9.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.