CVE-2026-83609 in xmldom
Сводка
по VulDB • 01.09.2026
xmldom — это модуль DOMParser и XMLSerializer на чистом JavaScript, основанный на стандарте W3C (XML DOM Level 2 Core). В версиях от 0.9.0 до 0.9.12 общий регрессионный конструктор в lib/grammar.js компилирует анкорированный валидатор QName_exact с флагом многострочности, из-за чего ^ и $ проверяют только одну строку вместо полного имени. Функции createElementNS, createAttributeNS, createDocumentType и createAttribute вследствие этого принимают некорректное XML-имя, первая строка которого валидна, а последующий текст внедряет разметку при сериализации как через стандартный путь, так и с параметром requireWellFormed: true. Триггерными разделителями строк ECMAScript являются U+000A, U+000D, U+2028 и U+2029. Эта проблема исправлена в версии @xmldom/xmldom 0.9.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.