CVE-2026-83607 in xmldom
요약
\~에 의해 VulDB • 2026. 09. 01.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 DOMParser 및 XMLSerializer 모듈입니다. @xmldom/xmldom 버전 0.8.14 및 0.9.11 이전, 그리고 xmldom 버전 0.6.0 이하에서는 Document.createElement(tagName)이 검증되지 않은 요소 이름을 저장하고, XMLSerializer.serializeToString()은 해당 이름을 그대로 출력합니다. requireWellFormed: true 경로에서 요소의 접두사 포함 이름(qualified name)이나 합성된 xmlns:PREFIX 선언을 검증하지 않았으므로, 공격자가 제어하는 태그명이 직렬화된 XML 또는 HTML에 속성, 요소 또는 처리 지시를 삽입할 수 있으며, 브라우저가 이를 소비할 때 크로스 사이트 스크립팅(XSS)을 유발할 수 있습니다. 이러한 미검증 값은 XML QName 제약 조건을 위반하며, 기본 직렬화 동작 및 createElement() 생성 시 행동이 여전히 관대합니다. 이 문제는 @xmldom/xmldom 버전 0.8.14 및 0.9.11에서 수정되었습니다; xmldom에 대해서는 수정된 버전이 제공되지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.