PT-2026-34616

CVE-2026-41673

تاريخ النشر

2026-04-22

تاريخ التحديث

2026-10-30

الوصف من

CVSS 4.0

8.7

عالية

المقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات @xmldom/xmldom الأقدم من 0.8.13

إصدارات @xmldom/xmldom الأقدم من 0.9.10

إصدارات xmldom 0.6.0 والإصدارات الأقدم

الوصف

تعمل سبع عمليات تصفح متكررة في ملف lib/dom.js دون حد أقصى للعمق. عند معالجة شجرة DOM متداخلة بعمق كافٍ، يتم استنفاد مكدس استدعاءات JavaScript، مما يؤدي إلى ظهور خطأ RangeError: تجاوز الحد الأقصى لحجم مكدس الاستدعاءات وتعطل التطبيق. وقد يؤدي ذلك إلى حدوث هجوم رفض الخدمة (DoS) إذا قبلت الخدمة ملف XML يتحكم فيه المهاجم وقامت بأي من العمليات المتأثرة.

تشمل الوظائف ونقاط الدخول المتأثرة ما يلي

Node.prototype.normalize()
XMLSerializer.serializeToString()
Element.getElementsByTagName()، وgetElementsByTagNameNS()، وgetElementsByClassName()، وgetElementById() (عبر الدالة visitNode)
Node.cloneNode(true)
Document.importNode(node, true)
node.textContent (الوصول)
Node.isEqualNode(other)