CVE-2022-39353
Açıklama
xmldom, saf JavaScript ile yazılmış W3C standart tabanlı (XML DOM Level 2 Core) bir `DOMParser` ve `XMLSerializer` modülüdür. xmldom, birden fazla üst düzey öğe içerdiği için iyi biçimlendirilmemiş olan XML'leri ayrıştırır ve herhangi bir hata raporlamadan veya istisna fırlatmadan tüm kök düğümleri `Document` nesnesinin `childNodes` koleksiyonuna ekler. Bu durum, ağaçta yalnızca tek bir kök düğüm olduğu varsayımını bozar; bu da bağımlı bileşenler için potansiyel bir sorun teşkil ettiğinden CVE-2022-39299'un yayınlanmasına yol açmıştır. @xmldom/xmldom@~0.7.7, @xmldom/xmldom@~0.8.4 (dist-tag latest) veya @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next) sürümlerine güncelleyin. Geçici çözüm olarak, kullanım durumunuza bağlı olarak şu yaklaşımlardan birini uygulayın: tüm DOM içinde öğe aramak yerine yalnızca `documentElement` içinde arama yapın veya 1'den fazla `childNode` içeren belgeleri reddedin.
Nasıl düzeltilir
- xmldom_project xmldom0.6.0, 0.7.7, 0.8.4 ya da sonraki bir sürüm
- @xmldom/xmldom0.7.7, 0.8.4, 0.9.0-beta.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xmldom_project xmldom | v < 0.6.0, 0.7.0 ≤ v < 0.7.7, 0.8.0 ≤ v < 0.8.4, 0.9.0 | 0.6.0, 0.7.7, 0.8.4 |
| debian debian_linux | 10.0 | — |
| xmldomnpm | v ≤ 0.6.0 | — |
| @xmldom/xmldomnpm | v < 0.7.7, 0.8.0 ≤ v < 0.8.4, 0.9.0-beta.1 ≤ v < 0.9.0-beta.4 | 0.7.7, 0.8.4, 0.9.0-beta.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.