CVE-2026-34601
xmldom: XML injection via unsafe CDATA serialization allows attacker-controlled markup insertion
Em resumo
O xmldom não escapa corretamente caracteres especiais ao armazenar texto em seções CDATA, permitindo que atacantes injetem código XML malicioso que é executado quando o documento é lido por outros sistemas.
Detalhe técnico
Um atacante pode inserir a sequência terminadora CDATA ]]> em um nó CDATASection; o XMLSerializer não sanitiza nem divide este terminador durante serialização, fazendo com que marcação controlada pelo atacante seja emitida como XML ativo em vez de conteúdo apenas-texto, possibilitando injeção XML e manipulação lógica em processadores posteriores.
Resumo gerado e traduzido por IA a partir da descrição oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In xmldom versions 0.6.0 and prior and @xmldom/xmldom prior to versions 0.8.12 and 0.9.9, xmldom/xmldom allows attacker-controlled strings containing the CDATA terminator ]]> to be inserted into a CDATASection node. During serialization, XMLSerializer emitted the CDATA content verbatim without rejecting or safely splitting the terminator. As a result, data intended to remain text-only became active XML markup in the serialized output, enabling XML structure injection and downstream business-logic manipulation. This issue has been patched in xmldom version 0.6.0 and @xmldom/xmldom versions 0.8.12 and 0.9.9.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
xmldom · xmldomQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →