CVE-2026-83605 in xmldom
Resumen
por VulDB • 2026-09-01
xmldom es un módulo DOMParser y XMLSerializer basado en el estándar W3C (XML DOM Level 2 Core) implementado puramente en JavaScript. Antes de las versiones 0.8.14 y 0.9.11 de @xmldom/xmldom, y en la versión 0.6.0 y anteriores de xmldom, Element.setAttribute() invoca el camino privado _createAttribute(name) sin validar el nombre del atributo, mientras que Document.createAttribute(name) valida contra QName. XMLSerializer.serializeToString() emite los nombres de los atributos literalmente, y requireWellFormed: true no los validaba; por lo tanto, un nombre manipulado puede terminar con el atributo previsto e inyectar atributos adicionales, incluidos controladores de eventos (event handlers), en la salida consumida por el navegador; las declaraciones xmlns:PREFIX sintetizadas exponen el mismo límite sin verificar. Este problema se soluciona en las versiones 0.8.14 y 0.9.11 de @xmldom/xmldom; no hay versión corregida disponible para xmldom.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.