CVE-2026-34601highCWE-91

CVE-2026-34601: fallo de gravedad alta en xmldom

xmldom: XML injection via unsafe CDATA serialization allows attacker-controlled markup insertion

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear xmldom+ Monitorear node-xmldom

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.5%
En resumen

xmldom no escapa correctamente caracteres especiales al almacenar texto en secciones CDATA, permitiendo que atacantes inyecten código XML malicioso que se ejecuta cuando el documento es leído por otros sistemas.

Detalle técnico

Un atacante puede insertar la secuencia terminadora CDATA ]]> en un nodo CDATASection; XMLSerializer no sanitiza ni divide este terminador durante la serialización, haciendo que el marcado controlado por el atacante se emita como XML activo en lugar de contenido solo-texto, posibilitando inyección XML y manipulación lógica en procesadores posteriores.

Resumen generado y traducido por IA a partir de la descripción oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In xmldom versions 0.6.0 and prior and @xmldom/xmldom prior to versions 0.8.12 and 0.9.9, xmldom/xmldom allows attacker-controlled strings containing the CDATA terminator ]]> to be inserted into a CDATASection node. During serialization, XMLSerializer emitted the CDATA content verbatim without rejecting or safely splitting the terminator. As a result, data intended to remain text-only became active XML markup in the serialized output, enabling XML structure injection and downstream business-logic manipulation. This issue has been patched in xmldom version 0.6.0 and @xmldom/xmldom versions 0.8.12 and 0.9.9.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
xmldom · xmldom
CVEs relacionadas — xmldom

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-32796MEDIUMMisinterpretation of malicious XML input in xmldomEPSS 1.4%CVE-2021-21366MEDIUMMisinterpretation of malicious XML inputEPSS 1.3%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%