CVE-2026-83619
Təsvir
xmldom, təmiz JavaScript əsaslı və W3C standartına (XML DOM Level 2 Core) uyğun DOMParser və XMLSerializer moduludur. 0.7.0 versiyasından 0.8.15 versiyasına qədər, lib/sax.js faylında yerləşən release-0.8.x parseri tutulmuş son teq adlarını lövbərsiz qlobal /[ \t\n\r]+$/g ifadəsi ilə kəsir. Uzun boşluq ardıcıllığından sonra boşluq olmayan simvol ehtiva edən son teq üçün bu ifadə hər bir mümkün başlanğıc mövqeyindən yenidən cəhd edir və son lövbəri uğursuz olmadan əvvəl kvadratik şəkildə geri qayıdır (backtracking). DOMParser.parseFromString() funksiyası standart seçimlər altında bu yola çatır ki, bu da autentifikasiya olunmamış kiçik bir XML girişinin Node.js hadisə dövrünü (event loop) dayandırmasına imkan verir; 0.9.x və təyin olunmamış npm xətləri bu ifadəni ehtiva etmir. Bu problem @xmldom/xmldom versiya 0.8.15-də düzəldilmişdir.
Necə düzəltmək olar
- @xmldom/xmldom0.8.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @xmldom/xmldomnpm | 0.7.0 ≤ v < 0.8.15 | 0.8.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.