远程 Ubuntu 20.04 LTS / 22.04 LTS / 22.10 主机上安装的程序包受到 USN-6102-1 公告中提及的多个漏洞的影响。

  - xmldom 是完全基于 JavaScript W3C 标准（XML DOM Level 2 Core）的 DOMParser 和 XMLSerializer 模块。
    xmldom 0.4.0 及更早版本在重复解析和序列化恶意构建的文档时未正确保留系统标识符、FPI 或命名空间。这可能会在某些下游应用程序的 XML 处理期间导致意外的语法更改。此缺陷已在版本 0.5.0 中修复。作为变通方案，下游应用程序可验证输入并拒绝恶意构建的文档。
    (CVE-2021-21366)

  - 在 Node.js 0.8.3 之前的 xmldom（以 @xmldom/xmldom 发布）程序包中 dom.js 中，函数副本通过 p 变量存在原型污染漏洞。注意：供应商表示我们正在将此报告标记为无效；但是，一些第三方认为，原型注入/原型污染不仅会在全局对象受到递归合并或深度克隆的污染时发生，而且还会在目标对象受到污染时发生。(CVE-2022-37616)

  - xmldom 是完全基于 JavaScript W3C 标准（XML DOM Level 2 Core）的“DOMParser”和“XMLSerializer”模块。xmldom 包含多个顶级元素，所以会解析格式错误的 XML，并将所有根节点添加到“Document”的“childNodes”集合，而不会报告或抛出任何错误。这破坏了树中只有一个根节点的假设，从而会导致发出 CVE-2022-39299（因为这是从属对象的潜在问题）。更新为 @xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) 或 @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next)。作为变通方案，请根据您的使用案例采用下列方法之一：不搜索整个 DOM 中的元素，而只在“documentElement”中搜索，或拒绝包含 1 个以上“childNode”的文档。(CVE-2022-39353)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3154 公告中提及的一个漏洞影响。

  - 在 Node.js 0.8.3 之前的 xmldom（以 @xmldom/xmldom 发布）程序包中 dom.js 中，函数副本通过 p 变量存在原型污染漏洞。 (CVE-2022-37616)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
176324	Ubuntu 20.04 LTS / 22.04 LTS：xmldom 漏洞 (USN-6102-1)	Nessus	Ubuntu Local Security Checks	2023/5/24	2023/10/20	critical
194919	Splunk Enterprise <8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/5/30	critical
166227	Debian DLA-3154-1：node-xmldom - LTS 安全更新	Nessus	Debian Local Security Checks	2022/10/18	2022/11/29	critical

检测

插件搜索

critical

critical

critical