xmldom: XML injection via unsafe CDATA serialization allows attacker-controlled markup insertion
Publicada em · Atualizada em
21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 7.5epss 0.5%
probabilidade de exploração
0.5%top 57% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
O xmldom não escapa corretamente caracteres especiais ao armazenar texto em seções CDATA, permitindo que atacantes injetem código XML malicioso que é executado quando o documento é lido por outros sistemas.
Detalhe técnico
Um atacante pode inserir a sequência terminadora CDATA ]]> em um nó CDATASection; o XMLSerializer não sanitiza nem divide este terminador durante serialização, fazendo com que marcação controlada pelo atacante seja emitida como XML ativo em vez de conteúdo apenas-texto, possibilitando injeção XML e manipulação lógica em processadores posteriores.
Resumo gerado e traduzido por IA a partir da descrição oficial.
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In xmldom versions 0.6.0 and prior and @xmldom/xmldom prior to versions 0.8.12 and 0.9.9, xmldom/xmldom allows attacker-controlled strings containing the CDATA terminator ]]> to be inserted into a CDATASection node. During serialization, XMLSerializer emitted the CDATA content verbatim without rejecting or safely splitting the terminator. As a result, data intended to remain text-only became active XML markup in the serialized output, enabling XML structure injection and downstream business-logic manipulation. This issue has been patched in xmldom version 0.6.0 and @xmldom/xmldom versions 0.8.12 and 0.9.9.