CVE-2026-83605 in xmldom
Сводка
по VulDB • 01.09.2026
xmldom — это модуль DOMParser и XMLSerializer, основанный на стандарте W3C (XML DOM Level 2 Core) и реализованный исключительно на JavaScript. До версий @xmldom/xmldom 0.8.14 и 0.9.11, а также в версиях xmldom 0.6.0 и более ранних, вызов Element.setAttribute() использует внутренний путь _createAttribute(name) без проверки имени атрибута, тогда как Document.createAttribute(name) проверяет соответствие QName (имени с префиксом). XMLSerializer.serializeToString() выводит имена атрибутов дословно, а параметр requireWellFormed: true не выполнял их валидацию; таким образом, специально созданное имя может завершить предполагаемый атрибут и внедрить дополнительные атрибуты, включая обработчики событий (event handlers), в вывод, потребляемый браузером. Синтезированные объявления xmlns:PREFIX также подвержены той же уязвимости из-за отсутствия проверки имени. Данная проблема исправлена в версиях @xmldom/xmldom 0.8.14 и 0.9.11; для xmldom стабильная исправленная версия отсутствует.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.