CVE-2026-83605 in xmldom
Sumário
de VulDB • 01/09/2026
O xmldom é um módulo DOMParser e XMLSerializer baseado nos padrões W3C (XML DOM Level 2 Core) implementado em JavaScript puro. Antes das versões 0.8.14 e 0.9.11 do @xmldom/xmldom, bem como na versão 0.6.0 e anteriores do xmldom, as chamadas a Element.setAttribute() utilizam o caminho privado _createAttribute(name) sem validar o nome do atributo, enquanto Document.createAttribute(name) valida contra QName (nome qualificado). O XMLSerializer.serializeToString() emite os nomes dos atributos literalmente, e a opção requireWellFormed: true não os validava; portanto, um nome manipulado pode encerrar o atributo pretendido e injetar atributos adicionais, incluindo manipuladores de eventos, na saída consumida pelo navegador. As declarações xmlns:PREFIX sintetizadas expõem as mesmas fronteiras com nomes não verificados. Este problema foi corrigido nas versões 0.8.14 e 0.9.11 do @xmldom/xmldom; nenhuma versão corrigida está disponível para o xmldom.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.