CVE-2026-83614 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto in puro JavaScript. Prima delle versioni @xmldom/xmldom 0.8.15 e 0.9.12, nonché nelle versioni xmldom dalla 0.3.0 alla 0.6.0, due percorsi indipendenti con complessità quadratica possono causare un denial of service (DoS). In lib/sax.js, parseElementStartPart scansiona ripetutamente un nome di tag non valido fino al successivo simbolo > durante il recupero a carattere singolo; in lib/dom.js, normalize() rimuove e riaggiunge ripetitamente i nodi di testo adiacenti, causando una rindicizzazione quadratica e la ricostruzione della stringa. Il primo percorso è raggiungibile tramite l'elaborazione predefinita di DOMParser.parseFromString(), mentre il secondo è accessibile anche attraverso una chiamata diretta a normalize() su un DOM costruito programmaticamente; endDocument invoca tale normalizzazione dopo l'analisi del documento. Questo problema è risolto nelle versioni @xmldom/xmldom 0.8.15 e 0.9.12; non sono disponibili versioni corrette per xmldom.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.