CVE-2021-21366

Misinterpretation of malicious XML input

CVSS 4.3 MEDIUMEPSS 1.3%CWE-115 CWE-436

En resumen

La librería xmldom no preserva correctamente documentos XML creados maliciosamente durante su procesamiento, causando cambios inesperados en la estructura. Esto permite que un atacante altere contenido XML de forma que pueda eludir controles de seguridad en aplicaciones que usan esta librería.

Detalle técnico

xmldom ≤0.4.0 falla al preservar correctamente identificadores de sistema, FPIs y espacios de nombres durante ciclos repetidos de análisis y serialización de XML malicioso. Un atacante puede suministrar entrada XML maliciosa que, al ser procesada por aplicaciones vulnerables, sufre transformaciones sintácticas capaces de eludir lógica de validación o políticas de seguridad (CWE-115: Entrada Interpretada Incorrectamente, CWE-436: Conflicto de Interpretación).

Resumen generado y traducido por IA a partir de la descripción oficial.

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.4.0 and older do not correctly preserve system identifiers, FPIs or namespaces when repeatedly parsing and serializing maliciously crafted documents. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This is fixed in version 0.5.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Productos afectados

xmldom · xmldom

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/xmldom/xmldom/commit/d4201b9dfbf760049f457f9f08a3888d48835135 https://github.com/xmldom/xmldom/releases/tag/0.5.0 https://github.com/xmldom/xmldom/security/advisories/GHSA-h6q6-9hqw-rwfv https://lists.debian.org/debian-lts-announce/2023/01/msg00000.html https://www.npmjs.com/package/xmldom