PT-2026-29497
CVE-2026-34601
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات xmldom 0.6.0 وما قبلها، و@xmldom/xmldom قبل الإصدارين 0.8.12 و0.9.9
الوصف
تحتوي مكتبة
xmldom على ثغرة تسمح بإدراج سلاسل نصية يتحكم فيها المهاجم، بما في ذلك علامة إنهاء CDATA ]]>، في عقدة CDATASection. أثناء التسلسل، يقوم XMLSerializer بإخراج محتوى CDATA دون رفض علامة الإنهاء أو فصلها بأمان. وهذا يسمح للبيانات المقصود بها أن تكون نصًا بأن تصبح علامات XML نشطة في الناتج المتسلسل، مما يتيح حقن بنية XML والتلاعب المحتمل بمنطق الأعمال في المراحل اللاحقة. تؤثر هذه المشكلة على Document.createCDATASection(data)، وCharacterData.appendData()، وCharacterData.replaceData()، وCharacterData.insertData()، والتعيين المباشر إلى .data أو .textContent. لا يتأثر تحليل XML الذي يحتوي على قسم CDATA. قد يؤدي استغلال هذه الثغرة إلى انتهاكات لسلامة مستندات XML التي تم إنشاؤها وإلى احتمال حقن منطق الأعمال في المستهلكين في المراحل اللاحقة.التوصيات
قم بالتحديث إلى إصدار xmldom 0.6.0 أو أحدث. قم بتحديث @xmldom/xmldom إلى الإصدار 0.8.12 أو 0.9.9 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾