PT-2026-34618
CVE-2026-41675
·
تاريخ النشر
2026-04-22
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @xmldom/xmldom السابقة للإصدار 0.8.13
إصدارات @xmldom/xmldom السابقة للإصدار 0.9.10
إصدارات xmldom 0.6.0 والإصدارات الأقدم
الوصف
يسمح البرنامج بتسلسل بيانات تعليمات المعالجة (PI) التي يتحكم فيها المهاجم إلى XML دون التحقق من صحة تسلسل إغلاق تعليمات المعالجة
?> أو تعطيله. يحدث هذا لأن الدالة createProcessingInstruction() تخزن المتغير data مباشرةً دون التحقق من صحته، ثم يقوم المسلسل بعد ذلك بربط هذه البيانات حرفياً. يمكن للمهاجم استخدام تسلسل ?> لإنهاء تعليمات المعالجة قبل الأوان وإدخال عقد XML عشوائية في المخرجات المتسلسلة، مما قد يؤدي إلى تغيير بنية ومعنى مستندات XML التي تم إنشاؤها.التوصيات
بالنسبة لإصدارات @xmldom/xmldom الأقدم من 0.8.13 و0.9.10، قم بالتحديث إلى الإصدار 0.8.13 أو 0.9.10 وقم بتمرير الخيار
{ requireWellFormed: true } صراحةً إلى الدالة serializeToString() لتمكين عملية التحقق التي تمنع حقن تسلسلات ?>.بالنسبة لإصدارات xmldom 0.6.0 والإصدارات الأقدم، لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾