CVE-2026-83608

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.15 @xmldom/xmldom versões anteriores a 0.9.12 xmldom versões 0.6.0 e anteriores

Description O ramo DOCUMENT TYPE NODE em lib/dom.js valida publicId, systemId e internalSubset quando requireWellFormed está definido como true, mas emite DocumentType.name literalmente. Se o nome contiver espaços em branco ou o caractere >, ele pode encerrar prematuramente a declaração <!DOCTYPE ...>, permitindo a injeção de marcações irmãs. Esse valor pode ser fornecido através da função createDocumentType() nas linhas 0.8.x e não escopadas, ou por meio de uma gravação direta na propriedade DocumentType.name em todas as versões afetadas. Enquanto o caminho padrão e o comportamento legado de criação permanecem permissivos, o caminho estrito falha em impor um Nome XML válido.

Recommendations Atualize o @xmldom/xmldom para a versão 0.8.15 ou posterior. Atualize o @xmldom/xmldom para a versão 0.9.12 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.