CVE-2026-83619 in xmldom
Zusammenfassung
von VulDB • 01.09.2026
xmldom ist ein reines JavaScript-Modul für DOMParser und XMLSerializer, das auf dem W3C-Standard (XML DOM Level 2 Core) basiert. Von der Version 0.7.0 bis zur 0.8.15 schneidet der Parser in lib/sax.js die erfassten End-Tags-Namen mit dem unanchoreden globalen regulären Ausdruck /[ \t\n\r]+$/g ab. Bei einem End-Tag, das auf eine lange Folge von Leerzeichen ein nicht-leerzeichenhaltiges Zeichen folgen lässt, versucht der Ausdruck, jede mögliche Startposition erneut zu durchlaufen und führt vor dem Fehlschlagen des End-Ankers eine quadratische Rückverfolgung (Backtracking) durch. DOMParser.parseFromString() erreicht diesen Pfad unter den Standardoptionen, wodurch ein kleiner, nicht authentifizierter XML-Eingabestream die Node.js-Event-Schleife blockieren kann; die Versionen 0.9.x und die unscoped npm-Zweige enthalten diesen Ausdruck nicht. Dieses Problem wurde in der Version @xmldom/xmldom 0.8.15 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.