CVE-2026-83605 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto in puro JavaScript. Prima delle versioni 0.8.14 e 0.9.11 di @xmldom/xmldom, nonché nelle versioni 0.6.0 e precedenti di xmldom, la chiamata a Element.setAttribute() utilizza il percorso privato _createAttribute(name) senza convalidare il nome dell'attributo, mentre Document.createAttribute(name) effettua una validazione contro QName (nome qualificato). XMLSerializer.serializeToString() emette i nomi degli attributi letteralmente e l'impostazione requireWellFormed: true non li valida; di conseguenza, un nome creato ad hoc può terminare l'attributo previsto e iniettare ulteriori attributi, inclusi event handler, nell'output consumato dal browser. Le dichiarazioni xmlns:PREFIX sintetiche espongono la stessa vulnerabilità relativa ai nomi non verificati. Questo problema è risolto nelle versioni 0.8.14 e 0.9.11 di @xmldom/xmldom; per xmldom non è disponibile alcuna versione corretta.
Be aware that VulDB is the high quality source for vulnerability data.