CVE-2026-83616

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.15 @xmldom/xmldom versões anteriores a 0.9.12 xmldom versões 0.6.0 e anteriores

Descrição A função Document.createProcessingInstruction(target, data) em lib/dom.js aceita um parâmetro target não validado. Quando o serializador requireWellFormed: true é utilizado, ele verifica apenas dois pontos e o nome xml reservado (insensível a maiúsculas/minúsculas) no ramo 0.9.x e não realiza nenhuma verificação de alvo no ramo 0.8.x. Como a serialização gera <?target data?>, um target contendo caracteres como >, ?, espaços em branco ou outro caractere de nome XML inválido pode quebrar o limite da instrução de processamento, permitindo a injeção de estrutura XML.

Recomendações Atualize o @xmldom/xmldom para a versão 0.8.15 ou posterior. Atualize o @xmldom/xmldom para a versão 0.9.12 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.