CVE-2026-83606
Açıklama
xmldom, saf JavaScript ile yazılmış W3C standart tabanlı (XML DOM Level 2 Core) bir DOMParser ve XMLSerializer modülüdür. 0.9.0-beta.9 ile 0.9.11 sürümleri arasında, lib/grammar.js dosyasındaki processing-instruction üretimi; gerekli olan kapatıcı ?> karakterleri eksik olduğunda, açgözlü S+ ayırıcının ve tembel Char*? veri grubunun uzun bir boşluk kuyruğunu tekrar tekrar yeniden bölümlendirmesine izin verir. Hem parsePI hem de parseProcessingInstruction fonksiyonları ifadeyi kalan tüm kaynağa uygular; bu durum varsayılan seçenekler altında DOMParser.parseFromString() sırasında kuadratik geri izlemeye (quadratic backtracking) neden olur ve kimlik doğrulaması yapılmamış küçük bir XML girdisinin Node.js olay döngüsünü durdurmasına olanak tanır. Bu sorun @xmldom/xmldom sürüm 0.9.11'de düzeltilmiştir.
Nasıl düzeltilir
- @xmldom/xmldom0.9.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @xmldom/xmldomnpm | 0.9.0-beta.9 ≤ v < 0.9.11 | 0.9.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.