CVE-2026-83612

Nome do Software Vulnerável e Versões Afetadas xmldom versões 0.9.0-beta.1 até 0.9.11

Descrição O parsing em modo HTML através da função DOMParser.parseFromString() processa incorretamente tags de fechamento com letras maiúsculas e minúsculas misturadas para elementos de texto bruto, como script, style, textarea ou title. A função parseHtmlSpecialContent, selecionada por isHTMLRawTextElement ou isHTMLEscapableRawTextElement, utiliza o método indexOf() sensível a maiúsculas e minúsculas. Quando uma tag de fechamento não é encontrada, o resultado é negativo um, que é então passado para substring(), causando a progressão instável do parser e amplificação quadrática da saída. Consequentemente, um pequeno documento text/html não confiável pode consumir CPU e memória desproporcionais durante o parsing e a serialização.

Recomendações Atualizar para a versão 0.9.12.