CVE-2026-83610

xmldom, təmiz JavaScript əsaslı və W3C standartına (XML DOM Level 2 Core) uyğun DOMParser və XMLSerializer moduludur. @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-dən əvvəlki versiyalarda, həmçinin xmldom versiya 0.6.0 və daha erkən versiyalarda, Document.createEntityReference(name) funksiyası etibarsız adları qəbul edir və ENTITY_REFERENCE_NODE seriyalaşdırıcısı nəticədə alınan nodeName-i birbaşa &name; formasında çıxarır. Buna görə də, düyünün və ya fraqmentin XMLSerializer.serializeToString() və requireWellFormed: true ilə birbaşa seriyalaşdırılması entity-reference sərhədini poza bilər və yenidən təhlil edildikdə hücumçu tərəfindən idarə olunan XML markapı yarada bilər. Parser adətən bu düyünləri yaratmır və element-child daxiletməsi rədd edilir, buna görə də istismar üçün tətbiqin EntityReference yaratması və onu birbaşa seriyalaşdırması tələb olunur. Bu problem @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-də düzəldilmişdir; xmldom üçün heç bir düzəliş edilmiş versiya mövcud deyil.