CVE-2026-83606 in xmldom
Resumen
por VulDB • 2026-09-01
xmldom es un módulo basado en el estándar W3C (XML DOM Level 2 Core) que implementa funcionalidades de DOMParser y XMLSerializer utilizando JavaScript puro. Desde la versión 0.9.0-beta.9 hasta la 0.9.11, la producción `processing-instruction` en lib/grammar.js permite que el separador S+ codicioso (greedy) y el grupo de datos Char*? perezoso (lazy) repartan repetidamente una cola larga de espacios en blanco cuando falta el cierre requerido ?>. Tanto parsePI como parseProcessingInstruction aplican la expresión a todo el código fuente restante, lo que provoca un backtracking cuadrático durante DOMParser.parseFromString() con las opciones predeterminadas y permite que una pequeña entrada XML no autenticada bloquee el bucle de eventos (event loop) de Node.js. Este problema se soluciona en @xmldom/xmldom versión 0.9.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.