PT-2026-34617
CVE-2026-41674
·
تاريخ النشر
2026-04-22
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @xmldom/xmldom الأقدم من 0.8.13
إصدارات @xmldom/xmldom الأقدم من 0.9.10
إصدارات xmldom الأقدم من 0.6.0
الوصف
تقوم الحزمة بتسلسل حقول عقدة
DocumentType (internalSubset وpublicId وsystemId) حرفياً دون إجراء أي عملية هروب أو تحقق من الصحة. عندما يتم تعيين هذه الحقول برمجياً عبر الدالة createDocumentType() أو عن طريق الكتابة المباشرة على الخصائص باستخدام سلاسل نصية يتحكم فيها المهاجم، يمكن أن تنتج طريقة XMLSerializer.serializeToString مخرجات يتم فيها إنهاء إعلان DOCTYPE قبل الأوان، مما يسمح بظهور علامات ترميز عشوائية خارج نطاقه. وعلى وجه التحديد، يمكن أن يؤدي إدخال ]> في internalSubset أو > في systemId إلى إنهاء إعلان DOCTYPE مبكرًا، في حين أن التلاعب بـ publicId يمكن أن يكسر سياق الاقتباس لإدخال إدخالات SYSTEM مزيفة. وقد يؤدي ذلك إلى هجمات من فئة XXE إذا قامت محللات XML اللاحقة بإعادة تحليل المخرجات مع تمكين توسيع الكيانات.التوصيات
تحديث @xmldom/xmldom إلى الإصدار 0.8.13 أو 0.9.10.
تحديث xmldom إلى إصدار أحدث من 0.6.0.
كإجراء تخفيفي، قم بتمرير الخيار
{ requireWellFormed: true } إلى الأسلوب serializeToString() لتمكين التحقق من صحة حقول DocumentType وإلقاء استثناء InvalidStateError عند اكتشاف تسلسلات الحقن. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾