CVE-2026-41674 in xmldom
요약
\~에 의해 VulDB • 2026. 05. 26.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 `DOMParser` 및 `XMLSerializer` 모듈입니다. @xmldom/xmldom 0.9.10 및 0.8.13 이전 버전과 xmldom 0.6.0 및 그 이전 버전에서는 DocumentType 노드의 필드(internalSubset, publicId, systemId)가 이스케이프 처리나 검증 없이 그대로 직렬화됩니다. 이러한 필드가 공격자가 제어하는 문자열로 프로그래밍 방식으로 설정되면, XMLSerializer.serializeToString은 DOCTYPE 선언이 조기에 종료되고 그 외부에 임의의 마크업이 나타나는 출력을 생성할 수 있습니다. 이 문제는 @xmldom/xmldom 버전 0.9.10 및 0.8.13에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.