CVE-2026-83619
Açıklama
xmldom, saf JavaScript ile yazılmış W3C standart tabanlı (XML DOM Level 2 Core) bir DOMParser ve XMLSerializer modülüdür. 0.7.0 sürümünden 0.8.15 sürümüne kadar, lib/sax.js içindeki release-0.8.x ayrıştırıcısı, yakalanan bitiş etiketi isimlerini sabitlenmemiş küresel ifade olan /[ \t\n\r]+$/g ile kırpar. Uzun bir boşluk dizisini takip eden boşluk olmayan bir karakter içeren bir bitiş etiketi için, söz konusu ifade her olası başlangıç konumundan yeniden dener ve son sabitleyicisi başarısız olmadan önce karesel olarak geri izleme yapar. DOMParser.parseFromString() varsayılan seçenekler altında bu yola ulaşır ve kimlik doğrulaması yapılmamış küçük bir XML girdisinin Node.js olay döngüsünü durdurmasına izin verir; 0.9.x ve kapsamlandırılmamış npm satırları bu ifadeyi içermez. Bu sorun @xmldom/xmldom versiyon 0.8.15'te düzeltilmiştir.
Nasıl düzeltilir
- @xmldom/xmldom0.8.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @xmldom/xmldomnpm | 0.7.0 ≤ v < 0.8.15 | 0.8.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.