CVE-2026-83610

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.15 @xmldom/xmldom versões anteriores a 0.9.12 xmldom versões 0.6.0 e anteriores

Descrição A função Document.createEntityReference(name) aceita nomes inválidos, e o serializador ENTITY REFERENCE NODE emite o nodeName resultante diretamente no formato &name;. Ao serializar um nó ou fragmento usando XMLSerializer.serializeToString() com requireWellFormed definido como true, a fronteira de referência da entidade pode ser quebrada. Isso permite a produção de marcação XML controlada por um invasor ao ser reanalisada. A exploração ocorre se uma aplicação criar e serializar diretamente um EntityReference.

Recomendações Atualize o @xmldom/xmldom para a versão 0.8.15. Atualize o @xmldom/xmldom para a versão 0.9.12. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.