PT-2026-34616 · Root+4 · @Rootio/Xmldom Xmldom+3

Jvr2022 + 2 · Publicado 2026-04-22 · Atualizado 2026-06-04 · CVE-2026-41673

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas @xmldom/xmldom versões anteriores a 0.8.13 @xmldom/xmldom versões anteriores a 0.9.10 xmldom versões 0.6.0 e anteriores

Descrição Sete travessias recursivas em lib/dom.js operam sem limite de profundidade. Ao processar uma árvore DOM suficientemente aninhada, a pilha de chamadas do JavaScript é esgotada, resultando em um RangeError: Maximum call stack size exceeded e causando a queda da aplicação. Isso pode levar a uma negação de serviço se um serviço aceitar XML controlado por um invasor e executar qualquer uma das operações afetadas.

As funções e pontos de entrada afetados incluem

• Node.prototype.normalize()
• XMLSerializer.serializeToString()
• Element.getElementsByTagName(), getElementsByTagNameNS(), getElementsByClassName() e getElementById() (através da função visitNode)
• Node.cloneNode(true)
• Document.importNode(node, true)
• node.textContent (getter)
• Node.isEqualNode(other)

Recomendações Atualize o @xmldom/xmldom para a versão 0.8.13 ou 0.9.10. Atualize o xmldom para uma versão posterior à 0.6.0. Como medida paliativa temporária, restrinja o uso das funções afetadas ou limite a profundidade de aninhamento de documentos XML antes que sejam processados pela biblioteca.

Exploit

Correção

DoS

Uncontrolled Recursion

Enumeração de Fraquezas

CWE-674

Identificadores relacionados

CVE-2026-41673

GHSA-2V35-W6HQ-6MFW

Produtos afetados

@Rootio/Xmldom Xmldom

@Xmldom/Xmldom

Node-Xmldom

Xmldom

Referências · 26

• 🔥 https://github.com/xmldom/xmldom/security/advisories/GHSA-2v35-w6hq-6mfw · Exploit
• https://github.com/xmldom/xmldom/releases/tag/0.9.10 · Nota
• https://github.com/xmldom/xmldom/commit/e6edcab6bef5bcdba0b220bb35442aa72f452b84 · Nota
• https://github.com/xmldom/xmldom/commit/5cdb515630fa8ca25f840b3ff1420c045545af1b · Nota
• https://github.com/xmldom/xmldom/commit/430357c7b6333108856e917bf2367afe5ceb6f8a · Nota
• https://github.com/xmldom/xmldom/commit/8b7cfd1491314abdc347261921d7334ff15f7112 · Nota
• https://github.com/xmldom/xmldom/commit/4845ef109221df0890825de2822fbe77afba3afe · Nota
• https://github.com/xmldom/xmldom/releases/tag/0.8.13 · Nota
• https://github.com/xmldom/xmldom/commit/8834218c85ac2a4d757b9587c9028e67c2f7b6c3 · Nota
• https://github.com/xmldom/xmldom/commit/291257493cb0eb6980eda83b162a9c4e6d7d2597 · Nota
• https://github.com/xmldom/xmldom/commit/2d6d6916ed8a4c223db1f6d7560ab4544c465b0f · Nota
• https://github.com/xmldom/xmldom/commit/b0620383abc1df067f3ce1014c43ae1bc1161eeb · Nota
• https://github.com/xmldom/xmldom/commit/17678a2a73ecbd1a2da90f3d47dc23da9cef81aa · Nota
• https://github.com/xmldom/xmldom · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41673 · Nota de Segurança