xmldom: 安全でないCDATAシリアライゼーションによるXMLインジェクションにより、攻撃者が制御するマークアップの挿入が可能

CVE-2026-34601 は、@xmldom/xmldom において、攻撃者が制御する文字列に CDATA ターミネーター ]]> が含まれている場合に、CDATASection ノードに挿入されることを許可します。シリアル化中に、XMLSerializer はターミネーターを拒否または安全に分割せずに、CDATA コンテンツをそのまま出力しました。その結果、テキスト専用として意図されたデータが、シリアル化された出力で アクティブな XML マークアップ になり、XML 構造のインジェクションと、その結果としてのダウンストリームのビジネスロジックの操作が可能になりました。]]> シーケンスは CDATA の内部では許可されていません。

Applications built on Node.js that utilize the @xmldom/xmldom library for XML processing are at risk. This includes applications that parse XML data from external sources, such as APIs or user uploads, without proper validation. Shared hosting environments where multiple applications share the same Node.js runtime are particularly vulnerable, as a compromise of one application could potentially impact others.

• nodejs / server:

  ps aux | grep xmldom
  find / -name "*xmldom*" -type d -print

• generic web:

  curl -I <your_application_url> | grep XML
  grep -r 'CDATA[[]]' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. 更新日2026-04-07
4. EPSS 更新日2026-04-10

現在、CVE-2026-34601 に対する修正 (fix) は利用できません。主な軽減策は、@xmldom/xmldom を信頼できないデータの処理に使用しないことです。ライブラリの使用が不可欠な場合は、CDATASection ノードを作成する前に、すべての入力データを厳密にサニタイズすることをお勧めします。これは、ターミネーター ]]> を削除またはエスケープすることを含みます。さらに、ライブラリのより安全なバージョンが利用可能になったら、そのバージョンに更新することを検討してください。@xmldom/xmldom のセキュリティ更新を監視することは、修正が公開されたらすぐに適用するために重要です。直接的な修正がない場合、入力の検証とサニタイズが最も重要な防御策となります。