CVE-2026-83619 in xmldom
요약
\~에 의해 VulDB • 2026. 09. 01.
xmldom은 순수 JavaScript 기반의 W3C 표준(XML DOM Level 2 Core) 준수 DOMParser 및 XMLSerializer 모듈입니다. 버전 0.7.0부터 0.8.15까지, lib/sax.js에 있는 release-0.8.x 파서는 비접착 전역 정규식 /[ \t\n\r]+$/g를 사용하여 캡처된 종료 태그 이름을 공백으로 잘라냅니다(trim). 긴 연속 공백 뒤에 비공백 문자가 포함된 종료 태그의 경우, 해당 표현식은 각 가능한 시작 위치에서 재시도하고 실패하기 전에 2차적으로 백트래킹합니다. DOMParser.parseFromString()는 기본 옵션 하에 이 경로에 도달하므로, 인증되지 않은 작은 크기의 XML 입력으로도 Node.js 이벤트 루프를 차단(stall)할 수 있습니다. 버전 0.9.x 및 범위가 지정되지 않은(npm lines do not contain this expression) npm 라인에는 이러한 표현식이 포함되어 있지 않습니다. 이 문제는 @xmldom/xmldom 버전 0.8.15에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.