CVE-2026-83609 in xmldom
요약
\~에 의해 VulDB • 2026. 09. 01.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 DOMParser 및 XMLSerializer 모듈입니다. 버전 0.9.0부터 0.9.12까지, lib/grammar.js에 있는 공유 reg() 빌더는 고정된 QName_exact 검증기를 multiline 플래그와 함께 컴파일하므로 ^과 $가 전체 이름 대신 한 줄만 유효성 검사합니다. 이로 인해 createElementNS, createAttributeNS, createDocumentType 및 createAttribute는 첫 번째 줄은 유효하지만 이후 텍스트가 기본 경로 또는 requireWellFormed: true를 통해 직렬화될 때 마크업을 주입하는 malformed XML 이름을 허용하게 됩니다. 이를 유발하는 ECMAScript 행 종료 문자(U+000A, U+000D, U+2028 및 U+2029)가 존재합니다. 이 문제는 @xmldom/xmldom 버전 0.9.12에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.