CVE-2026-83610

xmldom, saf JavaScript ile yazılmış W3C standart tabanlı (XML DOM Level 2 Core) bir DOMParser ve XMLSerializer modülüdür. @xmldom/xmldom versiyonları 0.8.15 ve 0.9.12'den önce ve xmldom versiyon 0.6.0 ve öncesinde, Document.createEntityReference(name) geçersiz bir ismi kabul eder ve ENTITY_REFERENCE_NODE serileştiricisi sonuçlanan nodeName değerini doğrudan &name; formunda yayınlar. Bu nedenle, düğümün veya fragmanın XMLSerializer.serializeToString() ve requireWellFormed: true ile doğrudan serileştirilmesi, varlık referansı sınırını bozabilir ve yeniden ayrıştırıldığında saldırgan tarafından kontrol edilen XML işaretlemeleri üretebilir. Ayrıştırıcı normalde bu düğümleri oluşturmaz ve element-child ekleme işlemi reddedilir, bu nedenle istismar edilmesi için bir uygulamanın bir EntityReference oluşturması ve bunu doğrudan serileştirmesi gerekir. Bu sorun @xmldom/xmldom versiyonları 0.8.15 ve 0.9.12 sürümlerinde düzeltilmiştir; xmldom için düzeltilmiş bir sürüm mevcut değildir.