CVE-2026-83609 in xmldom
Résumé
par VulDB • 01/09/2026
xmldom est un module DOMParser et XMLSerializer basé sur le standard W3C (XML DOM Level 2 Core) implémenté en JavaScript pur. De la version 0.9.0 à la 0.9.12, le générateur reg() partagé dans lib/grammar.js compile le validateur QName_exact ancré avec l'indicateur multiline, de sorte que ^ et $ ne valident qu'une seule ligne au lieu du nom complet. createElementNS, createAttributeNS, createDocumentType et createAttribute acceptent par conséquent un nom XML malformé dont la première ligne est valide mais dont le texte ultérieur injecte des balises lors de la sérialisation via soit le chemin par défaut, soit requireWellFormed: true. Les terminateurs ECMAScript déclencheurs sont U+000A, U+000D, U+2028 et U+2029. Ce problème est corrigé dans @xmldom/xmldom version 0.9.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.