CVE-2026-83609

Nome do Software Vulnerável e Versões Afetadas xmldom versões 0.9.0 até 0.9.11

Descrição O construtor reg() compartilhado em lib/grammar.js compila o validador QName exact ancorado usando a flag multiline. Isso faz com que as âncoras ^ e $ validem apenas uma única linha em vez do nome completo. Consequentemente, as funções createElementNS(), createAttributeNS(), createDocumentType() e createAttribute() podem aceitar nomes XML malformados onde a primeira linha é válida, mas o texto subsequente injeta marcações durante a serialização via caminho padrão ou quando requireWellFormed está definido como true. Esse comportamento é desencadeado pelos terminadores de linha ECMAScript U+000A, U+000D, U+2028 e U+2029.

Recomendações Atualizar para a versão 0.9.12.