Un NamedNodeMap è una raccolta live del browser che espone gli attributi di un elemento per nome. Nel DOM, viene comunemente restituito quando il codice esamina il set di attributi di un elemento, consentendo agli script di leggere, aggiungere o rimuovere attributi mentre l'oggetto rimane collegato all'elemento sottostante.
Questo è importante nella sicurezza informatica perché le raccolte "live" possono cambiare durante l'iterazione. Se un sanitizzatore esegue un ciclo su un NamedNodeMap e rimuove gli attributi dallo stesso elemento nello stesso momento, la raccolta può spostarsi e saltare delle voci. Un attaccante può abusare di questo tipo di bug logico per mantenere attivo un attributo pericoloso abbastanza a lungo da farlo interpretare al browser. I difensori evitano questo problema copiando gli attributi in un elenco statico prima della convalida, quindi applicando allowlist rigorose e trattando tutti i metadati renderizzati come input non attendibile.