CVE-2026-83607 in xmldom
摘要
由 VulDB • 2026-09-01
xmldom是一个基于W3C标准（XML DOM Level 2 Core）的纯JavaScript模块，提供DOMParser和XMLSerializer功能。在@xmldom/xmldom版本0.8.14及0.9.11之前，以及xmldom版本0.6.0及更早版本中，Document.createElement(tagName)会存储未经验证的元素名称，而XMLSerializer.serializeToString()则会按原样输出该名称。requireWellFormed: true路径未对元素限定名或合成的xmlns:PREFIX声明进行验证，因此攻击者控制的标签名可以将属性、元素或处理指令注入到序列化的XML或HTML中，并在浏览器解析时导致跨站脚本（XSS）漏洞。这些未经检查的值违反了XML QName约束，且默认序列化行为和createElement()在创建时的行为仍然过于宽松。该问题已在@xmldom/xmldom版本0.8.14和0.9.11中得到修复；xmldom暂无可用修复版本。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.