CVE-2026-83606 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto interamente in JavaScript. Dalla versione 0.9.0-beta.9 alla 0.9.11, la produzione processing-instruction in lib/grammar.js consente al separatore S+ greedy e al gruppo di dati Char*? lazy di ripartire ripetutamente una lunga coda di spazi bianchi quando manca la chiusura ?> richiesta. Sia parsePI che parseProcessingInstruction applicano l'espressione all'intero sorgente rimanente, causando un backtracking quadratico durante DOMParser.parseFromString() con le opzioni predefinite e consentendo a un piccolo input XML non autenticato di bloccare il loop degli eventi Node.js. Questo problema è stato risolto nella versione 0.9.11 di @xmldom/xmldom.
If you want to get best quality of vulnerability data, you may have to visit VulDB.