CVE-2021-21366mediumCWE-115CWE-436

CVE-2021-21366: falha de média gravidade em xmldom

Misinterpretation of malicious XML input

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar xmldom+ Monitorar node-xmldom

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.3epss 1.3%
Em resumo

A biblioteca xmldom não preserva corretamente documentos XML maliciosamente criados quando os processa, causando mudanças inesperadas na estrutura. Isso permite que um atacante altere conteúdo XML de forma que possa burlar verificações de segurança em aplicações que usam essa biblioteca.

Detalhe técnico

xmldom ≤0.4.0 falha ao preservar corretamente identificadores de sistema, FPIs e namespaces durante ciclos repetidos de análise e serialização de XML malicioso. Um atacante pode fornecer entrada XML maliciosa que, ao ser processada por aplicações vulneráveis, sofre transformações sintáticas capazes de contornar lógica de validação ou políticas de segurança (CWE-115: Entrada Interpretada Incorretamente, CWE-436: Conflito de Interpretação).

Resumo gerado e traduzido por IA a partir da descrição oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.4.0 and older do not correctly preserve system identifiers, FPIs or namespaces when repeatedly parsing and serializing maliciously crafted documents. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This is fixed in version 0.5.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Produtos afetados
xmldom · xmldom
CVEs relacionadas — xmldom

No mesmo produto, das mais perigosas para as menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-32796MEDIUMMisinterpretation of malicious XML input in xmldomEPSS 1.4%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%