CVE-2026-83607

xmldom, saf JavaScript ile yazılmış W3C standart tabanlı (XML DOM Level 2 Core) bir DOMParser ve XMLSerializer modülüdür. @xmldom/xmldom versiyonları 0.8.14 ve 0.9.11'den önceki sürümlerde ve xmldom versiyon 0.6.0 ve öncesinde, Document.createElement(tagName) doğrulanmamış bir element adını saklar ve XMLSerializer.serializeToString() bu adı olduğu gibi yayınlar. requireWellFormed: true yolu, element nitelikli adını veya sentezlenmiş xmlns:PREFIX bildirimini doğrulamamıştır; bu nedenle saldırgan tarafından kontrol edilen etiket adları, serileştirilmiş XML veya HTML içine öznitelikler, elementler veya işleme talimatları enjekte edebilir ve tarayıcı tarafından tüketildiğinde siteler arası betik çalıştırma (XSS) sorununa yol açabilir. Kontrol edilmeyen değerler XML QName kısıtlamasını ihlal eder ve varsayılan serileştirme ile oluşturma zamanındaki createElement() davranışı izin verici kalmaya devam eder. Bu sorun @xmldom/xmldom versiyonları 0.8.14 ve 0.9.11'de düzeltilmiştir; xmldom için düzeltilmiş bir versiyon mevcut değildir.