CVE-2026-83605 in xmldom
要約
〜によって VulDB • 2026年09月01日
xmldomは、W3C標準（XML DOM Level 2 Core）に基づく純粋なJavaScriptのDOMParserおよびXMLSerializerモジュールです。@xmldom/xmldomバージョン0.8.14および0.9.11より前、およびxmldomバージョン0.6.0以前では、Element.setAttribute()は属性名を検証せずにプライベートな_createAttribute(name)パスを呼び出しますが、Document.createAttribute(name)はQNameに対して検証を行います。XMLSerializer.serializeToString()は属性名をそのまま出力し、requireWellFormed: trueでもこれらを検証しないため、意図された属性を終了してブラウザが消費する出力にイベントハンドラを含む追加の属性を注入できるような加工済みの名前を使用できます。合成されたxmlns:PREFIX宣言も同様に検証されていない名の境界を露呈します。この問題は@xmldom/xmldomバージョン0.8.14および0.9.11で修正されました；xmldomには固定版は提供されていません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.