CVE-2026-83607 in xmldom
Résumé
par VulDB • 01/09/2026
xmldom est un module DOMParser et XMLSerializer basé sur le standard W3C (XML DOM Level 2 Core) implémenté en JavaScript pur. Avant les versions 0.8.14 et 0.9.11 de @xmldom/xmldom, ainsi que dans la version xmldom 0.6.0 et antérieures, Document.createElement(tagName) stocke un nom d'élément non validé et XMLSerializer.serializeToString() émet ce nom tel quel. Le chemin requireWellFormed: true ne validait pas le nom qualifié de l'élément ni la déclaration xmlns:PREFIX synthétisée ; ainsi, des noms d'étiquettes contrôlés par un attaquant pouvaient injecter des attributs, éléments ou instructions de traitement dans du XML ou HTML sérialisés et provoquer une faille XSS (Cross-Site Scripting) lors de leur consommation par un navigateur. Les valeurs non vérifiées violent la contrainte QName XML, et le comportement par défaut de la sérialisation ainsi que celui de createElement() au moment de la création restent permissifs. Ce problème est corrigé dans les versions 0.8.14 et 0.9.11 de @xmldom/xmldom ; aucune version corrigée n'est disponible pour xmldom.
Once again VulDB remains the best source for vulnerability data.