CVE-2026-41672highCWE-91

CVE-2026-41672: fallo de gravedad alta en xmldom

xmldom: XML node injection through unvalidated comment serialization

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear xmldom+ Monitorear node-xmldom

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.7epss 0.5%
En resumen

La biblioteca xmldom no escapa correctamente caracteres especiales en comentarios XML, permitiendo que atacantes salgan del comentario e inyecten código XML malicioso en la salida. Esto puede corromper datos o crear vulnerabilidades de seguridad en aplicaciones que procesan XML no confiable.

Detalle técnico

La serialización de comentarios XML en xmldom anterior a las versiones 0.9.10 y 0.8.13 no valida ni neutraliza secuencias de terminación de comentarios (CWE-91: inyección XML), permitiendo que un atacante que controle el contenido del comentario cierre prematuramente el comentario e inyecte nodos XML arbitrarios en la salida serializada. La vulnerabilidad requiere que entrada controlada por el atacante se incluya en comentarios XML procesados por el XMLSerializer de la biblioteca.

Resumen generado y traducido por IA a partir de la descripción oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In @xmldom/xmldom prior to versions 0.9.10 and 0.8.13 and xmldom version 0.6.0 and prior, the package allows attacker-controlled comment content to be serialized into XML without validating or neutralizing comment-breaking sequences. As a result, an attacker can terminate the comment early and inject arbitrary XML nodes into the serialized output. This issue has been patched in versions @xmldom/xmldom versions 0.9.10 and 0.8.13.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
xmldom · xmldom
CVEs relacionadas — xmldom

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-32796MEDIUMMisinterpretation of malicious XML input in xmldomEPSS 1.4%CVE-2021-21366MEDIUMMisinterpretation of malicious XML inputEPSS 1.3%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%