CVE-2021-32796mediumCWE-116

CVE-2021-32796: falha de média gravidade em xmldom

Misinterpretation of malicious XML input in xmldom

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar xmldom+ Monitorar node-xmldom

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 1.4%
Em resumo

A biblioteca xmldom não escapa corretamente caracteres especiais ao remover elementos XML de sua estrutura pai, o que pode fazer com que entrada XML maliciosa seja interpretada de forma inesperada e altere como aplicações que dependem dela processam os dados.

Detalhe técnico

O xmldom ≤0.6.0 não escapa adequadamente caracteres especiais durante a serialização de nós XML destacados, permitindo que um atacante crie documentos XML maliciosos que sofrem transformações sintáticas inesperadas quando processados por aplicações dependentes; a exploração requer que a aplicação analise e serialize conteúdo XML não confiável.

Resumo gerado e traduzido por IA a partir da descrição oficial.
xmldom is an open source pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.6.0 and older do not correctly escape special characters when serializing elements removed from their ancestor. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This issue has been resolved in version 0.7.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Produtos afetados
xmldom · xmldom
CVEs relacionadas — xmldom

No mesmo produto, das mais perigosas para as menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-21366MEDIUMMisinterpretation of malicious XML inputEPSS 1.3%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%