p PatchFirst

CVE-2021-21366

CVE-2021-21366 · Misinterpretation of malicious XML input

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.4.0 and older do not correctly preserve system identifiers, FPIs or namespaces when repeatedly parsing and serializing maliciously crafted documents. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This is fixed in version 0.5.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.

CVSS 4.3 · Средний · EPSS 1,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • xmldom

    Версии
    • < 0.5.0: Затронуто

    Нет опубликованного исправления

  • node-xmldom Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.5.0-1

    Обновитесь до 0.5.0-1

  • node-xmldom Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.5.0-1

    Обновитесь до 0.5.0-1

  • node-xmldom Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.5.0-1

    Обновитесь до 0.5.0-1

  • xmldom npm

    Затронутые диапазоны версий
    • SEMVER: < 0.5.0

    Обновитесь до 0.5.0

  • node-xmldom Ubuntu:20.04:LTS

    Версии
    • 0.1.27+ds-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.1.27+ds-1+deb10u2build0.20.04.1

    Обновитесь до 0.1.27+ds-1+deb10u2build0.20.04.1

Первоисточники

Проверьте свой сервер →