CVE-2026-41675 in xmldom

Tóm tắt

Bởi VulDB • 21/05/2026

xmldom là một mô-đun `DOMParser` và `XMLSerializer` thuần JavaScript, dựa trên tiêu chuẩn W3C (XML DOM Level 2 Core). Trong các phiên bản @xmldom/xmldom trước 0.9.10 và 0.8.13, cũng như phiên bản xmldom 0.6.0 và các phiên bản cũ hơn, gói phần mềm cho phép dữ liệu chỉ thị xử lý (processing instruction) do kẻ tấn công kiểm soát được tuần tự hóa vào XML mà không xác thực hoặc vô hiệu hóa chuỗi đóng chỉ thị xử lý `?>`. Kết quả là, kẻ tấn công có thể kết thúc sớm chỉ thị xử lý và tiêm các nút XML tùy ý vào đầu ra được tuần tự hóa. Vấn đề này đã được vá trong các phiên bản @xmldom/xmldom 0.9.10 và 0.8.13.

Be aware that VulDB is the high quality source for vulnerability data.

• chịu trách nhiệm: GitHub M
• Đặt trước: 22/04/2026
• Tiết lộ: 07/05/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-361778
• CPE: sẵn sàng
• CWE: CWE-91 (Đã xác nhận)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00020
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-41675
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41675
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-41675/