Към съдържанието
Търсене

CVE-2026-41672: xmldom, инжекция

8.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) `DOMParser` and `XMLSerializer` module. In @xmldom/xmldom prior to versions 0.9.10 and 0.8.13 and xmldom version 0.6.0 and prior, the package allows attacker-controlled comment content to be serialized into XML without validating or neutralizing comment-breaking sequences. As a result, an attacker can terminate the comment early and inject arbitrary XML nodes into the serialized output. This issue has been patched in versions @xmldom/xmldom versions 0.9.10 and 0.8.13.

Засегнати продукти

  • xmldom xmldom: xmldom <= 0.6.0; @xmldom/xmldom >= 0.9.0, < 0.9.10; @xmldom/xmldom < 0.8.13
  • Red Hat Red Hat Developer Hub 1.9: 1781187342 преди *
  • Red Hat Red Hat OpenShift AI 3.4: 1787121387 преди *
  • Red Hat Red Hat Build of Podman Desktop
  • Red Hat Red Hat Enterprise Linux 8
  • Red Hat Red Hat Fuse 7
  • Red Hat Red Hat OpenShift AI (RHOAI)
  • Red Hat Red Hat OpenShift Container Platform 4
  • Red Hat Self-service automation portal 2

Вид слабост

История

  • 7 май 2026 Публикувано

Други уязвимости в xmldom xmldom

Първоизточници

CVE-2026-41672: xmldom, инжекция | freedomonline.bg