CVE-2026-83617 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto interamente in JavaScript. Dalla versione 0.9.11 alla 0.9.12, i controlli sui nomi di elementi e attributi con `requireWellFormed: true` utilizzano l'espressione regolare `QName_exact` ancorata prodotta da `reg()` in `lib/grammar.js`, che eredita il flag multilinea. Di conseguenza, un nome composto da una prima rigola valida seguita dai caratteri U+000A, U+000D, U+2028 o U+2029 e da markup di breakout supera la convalida ed viene emesso letteralmente nei tag di apertura e chiusura degli elementi o nei nomi degli attributi. Questo comportamento aggira i controlli rigorosi di serializzazione introdotti per le precedenti avvisi relativi all'iniezione tramite nome di elemento e nome di attributo, mentre il percorso di serializzazione predefinito rimane al di fuori della garanzia di rigore. Il problema è stato risolto nella versione 0.9.12 di @xmldom/xmldom.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.