CVE-2026-83616

xmldom, təmiz JavaScript əsaslı və W3C standartına (XML DOM Level 2 Core) uyğun DOMParser və XMLSerializer moduludur. @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-dən əvvəlki versiyalarda, həmçinin xmldom versiya 0.6.0 və daha köhnə versiyalarda, lib/dom.js faylındakı Document.createProcessingInstruction(target, data) funksiyası təsdiqlənməmiş target parametrini qəbul edir; bu zaman requireWellFormed: true serializer 0.9.x versiyasında yalnız iki nöqtəli vergülə və rezerv edilmiş böyük-kiçik hərflərdən asılı olmayan xml adına yoxlama aparır, 0.8.x versiyasında isə heç bir target yoxlaması həyata keçirmir. Serializasiya <?target data?> formatında çıxış verdiyi üçün >, ?, boşluq və ya digər etibarsız XML-ad simvollarını ehtiva edən target, emal təlimatı sərhədini poza bilər və XML strukturunun inyeksiyasına yol aça bilər. Bu problem @xmldom/xmldom versiyaları 0.8.15 və 0.9.12-də düzəldilmişdir; xmldom üçün düzəldilmiş versiya mövcud değildir.