CVE-2026-83606

Nome do Software Vulnerável e Versões Afetadas xmldom versões 0.9.0-beta.9 até 0.9.10

Descrição A produção de instrução de processamento em lib/grammar.js permite que um separador S+ guloso e um grupo de dados Char*? preguiçoso reparticionem repetidamente uma cauda de espaço em branco longa quando o fechamento ?> está ausente. As funções parsePI() e parseProcessingInstruction() aplicam essa expressão ao restante da fonte, resultando em backtracking quadrático durante o DOMParser.parseFromString() sob as opções padrão. Isso permite que uma entrada XML não autenticada trave o loop de eventos do Node.js.

Recomendações Atualize para a versão 0.9.11.