CVE-2026-83612 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto interamente in JavaScript. Dalla versione 0.9.0-beta.1 alla 0.9.12, l'analisi della modalità HTML tramite `DOMParser.parseFromString()` gestisce erroneamente i tag di chiusura con maiuscole e minuscole miste per gli elementi raw-text script, style, textarea o title. La funzione `parseHtmlSpecialContent`, selezionata da `isHTMLRawTextElement` o `isHTMLEscapableRawTextElement`, utilizza un `indexOf()` case-sensitive e successivamente chiama `substring()` con un risultato di chiusura mancante pari a -1 (negative one), causando una progressione instabile del parser e un'amplificazione quadratica dell'output. Di conseguenza, un piccolo documento text/html non attendibile può consumare CPU e memoria in modo sproporzionato durante l'analisi e la serializzazione. Questo problema è stato risolto nella versione 0.9.12 di @xmldom/xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.