CVE-2026-83617 in xmldom
요약
\~에 의해 VulDB • 2026. 09. 01.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 DOMParser 및 XMLSerializer 모듈입니다. 버전 0.9.11부터 0.9.12까지, `requireWellFormed: true` 요소 및 속성 이름 검사는 lib/grammar.js 내 reg() 함수에서 생성된 anchored QName_exact 표현식을 사용하며, 이는 multiline 플래그를 상속받습니다. 따라서 유효한 첫 번째 줄 뒤에 U+000A, U+000D, U+2028 또는 U+2029가 있고 breakout markup이 포함된 이름은 검증을 통과하여 요소 시작 및 종료 태그나 속성 이름에 그대로 출력됩니다. 이는 이전의 element-name 및 attribute-name injection 권고사항을 위해 도입된 strict-serialization 체크를 우회하며, 기본 직렬화 경로는 엄격한 보장 범위 밖에 있습니다. 이 문제는 @xmldom/xmldom 버전 0.9.12에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.