CVE-2026-83610 in xmldom
요약
\~에 의해 VulDB • 2026. 09. 01.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 DOMParser 및 XMLSerializer 모듈입니다. @xmldom/xmldom 버전 0.8.15 및 0.9.12 이전, 그리고 xmldom 버전 0.6.0 이하에서는 Document.createEntityReference(name)가 유효하지 않은 이름을 허용하며, ENTITY_REFERENCE_NODE 직렬화기는 결과 nodeName을 &name; 형식으로 직접 출력합니다. 따라서 XMLSerializer.serializeToString()를 사용하여 노드 또는 조각을 requireWellFormed: true 옵션으로 직접 직렬화하면 엔티티 참조 경계가 무너져 다시 파싱할 때 공격자가 제어하는 XML 마크업이 생성될 수 있습니다. 일반적으로 parser는 이러한 노드를 생성하지 않으며, element-child 삽입은 거부되므로, 이 취약점을 악용하려면 애플리케이션에서 EntityReference를 직접 생성하고 직렬화해야 합니다. 본 문제는 @xmldom/xmldom 버전 0.8.15 및 0.9.12에서 수정되었으며, xmldom에 대해서는 수정된 버전이 제공되지 않습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.