CVE-2026-83608

xmldom, təmiz JavaScript əsaslı və W3C standartlarına (XML DOM Level 2 Core) uyğun DOMParser və XMLSerializer moduludur. @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-dən əvvəlki versiyalarda, həmçinin xmldom versiya 0.6.0 və daha erkən versiyalarda, lib/dom.js faylındakı DOCUMENT_TYPE_NODE budağı requireWellFormed: true olduqda publicId, systemId və internalSubset parametrlərini yoxlayır, lakin DocumentType.name dəyərini olduğu kimi ötürür. Tərkibində > və ya boşluq olan ad <!DOCTYPE ...> deklarasiyasını sonlandıra və qonşu nişanlamaların (markup) inyeksiyasına səbəb ola bilər; bu dəyər 0.8.x və scoped olmayan sətirlərdə createDocumentType() vasitəsilə və ya təsirlənmiş bütün sətirlərdə birbaşa DocumentType.name xassəsinə yazı yazmaqla təmin edilə bilər. Defolt yol və köhnə yaradılma zamanı davranışlar tolerant qalarkən, zəifliyi olan ciddi (strict) yol XML Adının (XML Name) tətbiqini təmin etmir. Bu problem @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-də düzəldilmişdir; xmldom üçün heç bir düzəldilmiş versiya mövcud değildir.