CVE-2026-83616 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto in puro JavaScript. Prima delle versioni @xmldom/xmldom 0.8.15 e 0.9.12, nonché nelle versioni di xmldom 0.6.0 e precedenti, la funzione Document.createProcessingInstruction(target, data) presente nel file lib/dom.js accetta un parametro target non convalidato; il serializer impostato su requireWellFormed: true verifica solo la presenza del carattere due punti (:) e il nome XML riservato in modo case-insensitive nelle versioni 0.9.x, mentre non effettua alcuna verifica sul target nelle versioni 0.8.x. Poiché la serializzazione genera <?target data?>, un parametro target contenente i caratteri >, ?, spazi bianchi o altri caratteri non validi per un nome XML può compromettere il confine dell'istruzione di elaborazione e iniettare struttura XML. Questo problema è stato risolto nelle versioni @xmldom/xmldom 0.8.15 e 0.9.12; nessuna versione corretta è disponibile per xmldom.
Be aware that VulDB is the high quality source for vulnerability data.