CVE-2026-83611

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.15 @xmldom/xmldom versões anteriores a 0.9.12 xmldom versões 0.6.0 e anteriores

Description A função DOMParser.parseFromString() pode aceitar silenciosamente uma tag de fechamento contendo conteúdo residual, como </a junk>, fechando o elemento e descartando o conteúdo restante. No ramo 0.9.x, o validador de tag de fechamento em lib/sax.js herda uma flag multiline de reg(), permitindo que a primeira linha satisfaça a produção ancorada de ETag XML, enquanto linhas posteriores não possuem validação de resíduo equivalente. Essa diferença de processamento do parser pode permitir a evasão de um portão de verificação de conformidade do tipo parse-before-trust. As interfaces de relatório envolvidas são onError no 0.9.x e errorHandler no 0.8.x.

Recommendations Atualize o @xmldom/xmldom para a versão 0.8.15 ou posterior. Atualize o @xmldom/xmldom para a versão 0.9.12 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.