CVE-2026-83614

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.15 @xmldom/xmldom versões anteriores a 0.9.12 xmldom versões 0.3.0 a 0.6.0

Descrição Dois caminhos quadráticos independentes podem causar a negação de serviço. No arquivo lib/sax.js, a função parseElementStartPart() reescaneia repetidamente um nome de tag malformado até o próximo caractere > durante a recuperação de caractere único. Além disso, em lib/dom.js, a função normalize() remove e anexa repetidamente nós de texto adjacentes, causando reindexação quadrática e reconstrução de string. O primeiro caminho é acessível através do processamento padrão de DOMParser.parseFromString(), enquanto o segundo é acessível por meio de uma chamada direta de normalize() em um DOM construído programaticamente, ou quando endDocument() invoca a normalização após a análise.

Recomendações Atualize o @xmldom/xmldom para a versão 0.8.15 ou posterior. Atualize o @xmldom/xmldom para a versão 0.9.12 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.