CVE-2026-83607

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.14 @xmldom/xmldom versões anteriores a 0.9.11 xmldom versões 0.6.0 e anteriores

Descrição A função Document.createElement(tagName) armazena um nome de elemento não validado, que é então emitido literalmente por XMLSerializer.serializeToString(). Quando o caminho requireWellFormed: true é utilizado, ele falha ao validar o nome qualificado do elemento ou a declaração xmlns:PREFIX sintetizada. Isso permite que nomes de tags controlados por atacantes injetem atributos, elementos ou instruções de processamento em XML ou HTML serializados, podendo causar cross-site scripting (XSS) quando consumidos por um navegador. Esses valores não verificados violam a restrição XML QName (Qualified Name), que define as regras para nomeação de elementos e atributos em XML.

Recomendações Atualize o @xmldom/xmldom para a versão 0.8.14. Atualize o @xmldom/xmldom para a versão 0.9.11. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.