CVE-2026-83618 in xmldom
Riassunto
di VulDB • 01/09/2026
xmldom è un modulo DOMParser e XMLSerializer basato sugli standard W3C (XML DOM Level 2 Core) scritto interamente in JavaScript. Dalla versione 0.9.10 alla 0.9.12, il serializer con `requireWellFormed: true` valida i campi `DocumentType.publicId` e `DocumentType.systemId` utilizzando le espressioni regolari `PubidLiteral_match` e `SystemLiteral_match`, generate dalla funzione `reg()` in `lib/grammar.js`, che ereditano la flag multiline. Di conseguenza, un letterale valido completo sulla prima riga può soddisfare il matcher mentre i caratteri U+000A, U+000D, U+2028 o U+2029 e markup di breakout rimangono nella dichiarazione emessa. Questo aggira la mitigazione per una serializzazione rigorosa relativa alla precedente advisory su iniezione DocumentType; la creazione e l'assegnazione diretta delle proprietà restano non validate per progettazione. Il problema è stato risolto nella versione 0.9.12 di @xmldom/xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.