🇰🇷 한글 설명
xmldom 0.7.0부터 0.8.15 버전의 release-0.8.x 파서에서 정규 표현식의 백트래킹 문제로 인한 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 특수하게 조작된 XML 입력을 제공하면 Node.js 이벤트 루프가 중단되어 시스템이 멈출 수 있습니다.
💡 쉬운 설명
악의적인 XML 데이터를 보내면 컴퓨터가 이를 처리하느라 과도하게 계산을 반복하게 만듭니다. 이로 인해 프로그램이 응답하지 않거나 멈추는 현상이 발생할 수 있습니다.
🇺🇸 원문 (English)
xmldom is a pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. From 0.7.0 until 0.8.15, the release-0.8.x parser in lib/sax.js trims captured end-tag names with the unanchored global expression /[ \t\n\r]+$/g. For an end tag containing a long whitespace run followed by a non-whitespace character, the expression retries from each possible starting position and backtracks quadratically before failing its end anchor. DOMParser.parseFromString() reaches the path under default options, allowing a small unauthenticated XML input to stall the Node.js event loop; the 0.9.x and unscoped npm lines do not contain this expression. This issue is fixed in @xmldom/xmldom version 0.8.15.
📍 영향받는 시스템
xmldom (또는 @xmldom/xmldom) 0.7.0 ~ 0.8.15 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 XML 입력을 DOMParser.parseFromString() 함수로 전송
🛡️ 대응 방법
@xmldom/xmldom 버전을 0.8.15 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 설치된 xmldom의 버전을 확인하여 0.8.15 미만인지 체크
npm list @xmldom/xmldom || npm list xmldom