CVE-2026-83609 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto interamente in JavaScript. Dalla versione 0.9.0 alla 0.9.12, il builder condiviso `reg()` in `lib/grammar.js` compila il validatore `QName_exact` ancorato con l'flag multilinea, facendo sì che i metacaratteri `^` e `$` validino solo una singola riga anziché l'intero nome. Di conseguenza, le funzioni `createElementNS`, `createAttributeNS`, `createDocumentType` e `createAttribute` accettano un nome XML non conforme la cui prima riga è valida ma il cui testo successivo inietta markup quando viene serializzato attraverso il percorso predefinito o impostando `requireWellFormed: true`. I terminatori di riga ECMAScript che innescano questa vulnerabilità sono U+000A, U+000D, U+2028 e U+2029. Questo problema è stato risolto nella versione 0.9.12 di @xmldom/xmldom.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.