🇰🇷 한글 설명
xmldom 라이브러리의 DOMParser.parseFromString() 과정에서 다수의 속성을 가진 XML을 처리할 때 이차 시간 복잡도(Quadratic complexity)가 발생합니다. 이로 인해 Node.js 이벤트 루프가 정지되어 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
XML 파일 안에 속성이 너무 많으면 컴퓨터가 이를 처리하는 데 시간이 기하급수적으로 늘어납니다. 이로 인해 서버가 응답을 멈추고 먹통이 될 수 있습니다.
🇺🇸 원문 (English)
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. Prior to @xmldom/xmldom versions 0.8.15 and 0.9.12, and in xmldom version 0.6.0 and earlier, DOMHandler.startElement in lib/dom-parser.js inserts every parsed attribute through setAttributeNode, while NamedNodeMap.setNamedItem in lib/dom.js calls the linear getNamedItem or getNamedItemNS lookup for each insertion. A well-formed element with many distinct attributes therefore requires quadratic comparisons during DOMParser.parseFromString() and can stall a Node.js event loop before application validation. This issue is fixed in @xmldom/xmldom versions 0.8.15 and 0.9.12; no fixed version is available for xmldom.
📍 영향받는 시스템
@xmldom/xmldom < 0.8.15, < 0.9.12 및 xmldom <= 0.6.0
⚔️ 공격 벡터
속성이 매우 많은 악의적으로 조작된 XML 문서를 서버에 전송하여 CPU 자원을 고갈시킴
🛡️ 대응 방법
@xmldom/xmldom 버전을 0.8.15 또는 0.9.12 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 설치된 xmldom 또는 @xmldom/xmldom의 버전을 확인하여 취약 버전인지 대조
npm list @xmldom/xmldom || npm list xmldom