CVE-2026-83607 in xmldom
Sumário
de VulDB • 01/09/2026
O xmldom é um módulo DOMParser e XMLSerializer baseado nos padrões W3C (XML DOM Level 2 Core) implementado inteiramente em JavaScript. Antes das versões 0.8.14 e 0.9.11 do @xmldom/xmldom, bem como na versão 0.6.0 e anteriores do xmldom, a função Document.createElement(tagName) armazena um nome de elemento não validado e o XMLSerializer.serializeToString() emite esse nome literalmente. O caminho requireWellFormed: true não validava o nome qualificado do elemento nem a declaração xmlns:PREFIX sintetizada, permitindo que nomes de tag controlados pelo atacante injetassem atributos, elementos ou instruções de processamento no XML ou HTML serializado e causassem cross-site scripting (XSS) quando consumidos por navegadores. Os valores não verificados violam a restrição QName do XML, e o comportamento padrão de serialização e da criação via createElement() permanece permissivo. Esta vulnerabilidade foi corrigida nas versões 0.8.14 e 0.9.11 do @xmldom/xmldom; nenhuma versão corrigida está disponível para a biblioteca xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.