CVE-2026-83618
CVE-2026-83618 · xmldom: requireWellFormed DocType publicId/systemId validation is bypassable via an embedded line terminator
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. From 0.9.10 until 0.9.12, the requireWellFormed: true serializer validates DocumentType.publicId and DocumentType.systemId with PubidLiteral_match and SystemLiteral_match expressions produced by reg() in lib/grammar.js, which inherit the multiline flag. A complete valid literal on the first line can therefore satisfy the matcher while U+000A, U+000D, U+2028, or U+2029 and breakout markup remain in the emitted <!DOCTYPE ...> declaration. This bypasses the strict-serialization mitigation for the earlier DocumentType injection advisory; creation and direct property assignment remain unvalidated by design. This issue is fixed in @xmldom/xmldom version 0.9.12.
CVSS 8.7 · Alta · EPSS 0,6% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
xmldom
- Versiones
- >= 0.9.10, < 0.9.12: Afectada
Sin corrección publicada
node-xmldom Debian:12
- Versiones
- 0.8.6-1
- 0.9.10-1
- 0.9.10-2
- 0.9.11-1
- 0.9.12-1
- 0.9.5-1
- 0.9.6-1
- 0.9.8-1
- 0.9.8-2
- 0.9.9-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Debian:13
- Versiones
- 0.9.10-1
- 0.9.10-2
- 0.9.11-1
- 0.9.12-1
- 0.9.6-1
- 0.9.8-1
- 0.9.8-2
- 0.9.9-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Debian:14
- Versiones
- 0.9.10-1
- 0.9.10-2
- 0.9.11-1
- 0.9.6-1
- 0.9.8-1
- 0.9.8-2
- 0.9.9-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.9.12-1
Actualiza a 0.9.12-1
@xmldom/xmldom npm
- Intervalos de versiones afectados
- SEMVER: ≥ 0.9.10, < 0.9.12
Actualiza a 0.9.12
node-xmldom Ubuntu:20.04:LTS
- Versiones
- 0.1.27+ds-1
- 0.1.27+ds-1+deb10u2build0.20.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Ubuntu:22.04:LTS
- Versiones
- 0.5.0-1
- 0.7.3-1
- 0.7.5-1
- 0.7.5-1ubuntu0.22.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Ubuntu:24.04:LTS
- Versiones
- 0.8.6-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Ubuntu:26.10
- Versiones
- 0.9.8-2
- 0.9.10-2
- 0.9.11-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-xmldom Ubuntu:26.04:LTS
- Versiones
- 0.9.6-1
- 0.9.8-1
- 0.9.8-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada