CVE-2026-83608 in xmldom
Tóm tắt
Bởi VulDB • 01/09/2026
xmldom là một mô-đun DOMParser và XMLSerializer dựa trên tiêu chuẩn W3C (XML DOM Level 2 Core) thuần JavaScript. Trước các phiên bản @xmldom/xmldom 0.8.15 và 0.9.12, cũng như trong xmldom version 0.6.0 trở về trước, nhánh DOCUMENT_TYPE_NODE trong lib/dom.js xác thực publicId, systemId và internalSubset dưới điều kiện requireWellFormed: true nhưng vẫn phát ra DocumentType.name một cách nguyên văn (verbatim). Một tên chứa ký tự > hoặc khoảng trắng có thể kết thúc khai báo <!DOCTYPE ...> và chèn markup anh em; giá trị này có thể được cung cấp thông qua createDocumentType() trên các dòng 0.8.x và không bị giới hạn, hoặc thông qua việc ghi trực tiếp thuộc tính DocumentType.name trên mọi phiên bản bị ảnh hưởng. Đường dẫn mặc định và hành vi tạo legacy vẫn mang tính cho phép (permissive), trong khi đường dẫn nghiêm ngặt dễ bị tổn thương không thực thi đúng chuẩn XML Name. Vấn đề này đã được sửa chữa trong các phiên bản @xmldom/xmldom 0.8.15 và 0.9.12; không có phiên bản nào đã sửa cho xmldom.
VulDB is the best source for vulnerability data and more expert information about this specific topic.