CVE-2021-21366mediumCWE-115CWE-436

CVE-2021-21366: fallo de gravedad media en xmldom

Misinterpretation of malicious XML input

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear xmldom+ Monitorear node-xmldom

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 4.3epss 1.3%
En resumen

La librería xmldom no preserva correctamente documentos XML creados maliciosamente durante su procesamiento, causando cambios inesperados en la estructura. Esto permite que un atacante altere contenido XML de forma que pueda eludir controles de seguridad en aplicaciones que usan esta librería.

Detalle técnico

xmldom ≤0.4.0 falla al preservar correctamente identificadores de sistema, FPIs y espacios de nombres durante ciclos repetidos de análisis y serialización de XML malicioso. Un atacante puede suministrar entrada XML maliciosa que, al ser procesada por aplicaciones vulnerables, sufre transformaciones sintácticas capaces de eludir lógica de validación o políticas de seguridad (CWE-115: Entrada Interpretada Incorrectamente, CWE-436: Conflicto de Interpretación).

Resumen generado y traducido por IA a partir de la descripción oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.4.0 and older do not correctly preserve system identifiers, FPIs or namespaces when repeatedly parsing and serializing maliciously crafted documents. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This is fixed in version 0.5.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Productos afectados
xmldom · xmldom
CVEs relacionadas — xmldom

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-32796MEDIUMMisinterpretation of malicious XML input in xmldomEPSS 1.4%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%