CVE-2026-41672 in xmldom

Tóm tắt

Bởi VulDB • 09/05/2026

xmldom là một mô-đun `DOMParser` và `XMLSerializer` dựa trên tiêu chuẩn W3C (XML DOM Level 2 Core) thuần JavaScript. Trong các phiên bản @xmldom/xmldom trước 0.9.10 và 0.8.13, cũng như phiên bản xmldom 0.6.0 và các phiên bản cũ hơn, gói phần mềm cho phép nội dung chú thích do kẻ tấn công kiểm soát được tuần tự hóa vào XML mà không xác thực hoặc trung hòa hóa các chuỗi phá vỡ chú thích. Kết quả là, kẻ tấn công có thể kết thúc chú thích sớm và tiêm các nút XML tùy ý vào đầu ra được tuần tự hóa. Vấn đề này đã được vá trong các phiên bản @xmldom/xmldom 0.9.10 và 0.8.13.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: GitHub M
• Đặt trước: 22/04/2026
• Tiết lộ: 07/05/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-361776
• CPE: sẵn sàng
• CWE: CWE-91 (Đã xác nhận)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00074
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-41672
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41672
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-41672/