CVE-2026-83619

Nome do Software Vulnerável e Versões Afetadas xmldom versões 0.7.0 até 0.8.14

Description O parser em lib/sax.js utiliza uma expressão regular global não ancorada /[ t r]+$/g para aparar nomes de tags de fechamento capturados. Quando uma tag de fechamento contém uma sequência longa de espaços em branco seguida por um caractere que não seja espaço, a expressão causa um backtracking quadrático. Isso permite que um usuário não autenticado forneça uma pequena entrada XML para a função DOMParser.parseFromString() que pode travar o loop de eventos do Node.js, resultando em uma negação de serviço.

Recommendations Atualize para a versão 0.8.15 ou posterior.