CVE-2026-41675

xmldom: XML node injection through unvalidated processing instruction serialization

CVSS 8.7 HIGHEPSS 0.4%CWE-91

En resumen

La biblioteca xmldom no valida correctamente caracteres especiales en instrucciones de procesamiento XML, permitiendo que atacantes terminen prematuramente la instrucción e inyecten código XML malicioso. Esto puede corromper datos o inyectar contenido no autorizado.

Detalle técnico

La vulnerabilidad existe en el componente XMLSerializer, donde los datos de instrucciones de procesamiento controlados por un atacante se serializan sin neutralizar la secuencia de cierre (?>). Un atacante puede inyectar esta secuencia para finalizar anticipadamente la instrucción de procesamiento e insertar nodos XML arbitrarios. El ataque requiere control sobre el contenido de la instrucción y afecta las operaciones de serialización.

Resumen generado y traducido por IA a partir de la descripción oficial.

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In @xmldom/xmldom prior to versions 0.9.10 and 0.8.13 and xmldom version 0.6.0 and prior, the package allows attacker-controlled processing instruction data to be serialized into XML without validating or neutralizing the PI-closing sequence ?>. As a result, an attacker can terminate the processing instruction early and inject arbitrary XML nodes into the serialized output. This issue has been patched in versions @xmldom/xmldom versions 0.9.10 and 0.8.13.

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Productos afectados

xmldom · xmldom

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/xmldom/xmldom/commit/7207a4b0e0bcc228868075ed991665ef9f73b1c2 https://github.com/xmldom/xmldom/releases/tag/0.8.13 https://github.com/xmldom/xmldom/releases/tag/0.9.10 https://github.com/xmldom/xmldom/security/advisories/GHSA-x6wf-f3px-wcqx