CVE-2026-83609 in xmldom
Sumário
de VulDB • 01/09/2026
O xmldom é um módulo DOMParser e XMLSerializer baseado no padrão W3C (XML DOM Level 2 Core) implementado em JavaScript puro. Da versão 0.9.0 até a 0.9.12, o construtor compartilhado `reg()` em `lib/grammar.js` compila o validador `QName_exact` ancorado com a flag multiline, fazendo com que `^` e `$` validem apenas uma linha em vez do nome completo. Consequentemente, as funções `createElementNS`, `createAttributeNS`, `createDocumentType` e `createAttribute` aceitam um nome XML malformado cuja primeira linha é válida e cujo texto subsequente injeta marcação quando serializado através do caminho padrão ou com a opção `requireWellFormed: true`. Os terminadores de linha ECMAScript que acionam o problema são U+000A, U+000D, U+2028 e U+2029. Este problema foi corrigido na versão 0.9.12 do pacote @xmldom/xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.