CVE-2026-83611

xmldom, təmiz JavaScript ilə yazılmış W3C standartına əsaslanan (XML DOM Level 2 Core) DOMParser və XMLSerializer moduludur. @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-dən əvvəlki versiyalarda, həmçinin xmldom versiya 0.6.0 və daha köhnə versiyalarda, DOMParser.parseFromString() funksiyası </a\njunk> kimi son teqləri səssiz şəkildə qəbul edə, elementi bağlaya və ardınca gələn məzmunu silə bilər. 0.9.x versiyasında lib/sax.js son teq validatoru reg()-dən çoxsətirli bayrağı miras alır ki, bu da birinci sətirin sabitləşdirilmiş XML ETag istehsalını təmin etməsinə şərait yaradır; daha köhnə sətirlərdə isə ekvivalent qalıq validasiyası yoxdur. Bu parser fərqi, atılan məzmunu inyeksiya etməsə də, "etibarlılıqdan öncə analiz" (parse-before-trust) düzgünlük qapısını yan keçə bilər; 0.9.x versiyasında onError və 0.8.x versiyasında errorHandler müvafiq hesabat interfeysləridir. Bu problem @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-də düzəldilib; xmldom üçün heç bir düzəliş edilmiş versiya mövcud deyil.