CVE-2026-41650
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
fast-xml-parser przed wersją 5.7.0 nie escapuje sekwencji "-->" w komentarzach ani "]]>" w sekcjach CDATA podczas budowania XML z obiektów JavaScript. Umożliwia to wstrzyknięcie XML, prowadząc do XSS, wstrzyknięcia SOAP lub manipulacji danymi.
Ocena ryzyka
Możliwe wstrzyknięcie XML przez dane kontrolowane przez użytkownika, co może prowadzić do XSS, wstrzyknięcia SOAP lub manipulacji danymi.
Rekomendacja
Zaktualizuj fast-xml-parser do wersji 5.7.0 lub nowszej. Sprawdź aplikacje przetwarzające XML pod kątem danych wejściowych użytkownika.
Inne podatności w fast-xml-parser
Zobacz wszystkie- CVE-2026-25896Krytyczne
W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.
- CVE-2026-73569Wysokie
fast-xml-parser w wersjach od 5.9.3 do 5.10.1 ma podatność związaną z przetwarzaniem wielu deklaracji DOCTYPE w jednym dokumencie XML. Funkcja addInputEntities() resetuje limity ekspansji encji przy każdym wywołaniu, co pozwala na obejście zabezpieczeń i może prowadzić do nadmiernego użycia CPU, zablokowania pętli zdarzeń, wyczerpania pamięci i zakończenia procesu. Problem został naprawiony w wersji 5.10.1.
- CVE-2026-26278Wysokie
Podatność w bibliotece fast-xml-parser umożliwia atak DoS poprzez nieograniczoną ekspansję encji XML. Nawet mały plik XML może spowodować długotrwałe przetwarzanie i zamrożenie aplikacji.
- CVE-2023-34104Wysokie
fast-xml-parser to otwarty parser XML w czystym JavaScript, który pozwala na używanie znaków specjalnych w nazwach encji, które nie są odpowiednio zabezpieczone. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków typu denial of service (DoS) poprzez stworzenie nazw encji, które generują nieefektywne wyrażenia regularne.
Oryginalny opis (angielski, źródło NVD)
fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. Prior to version 5.7.0, XMLBuilder does not escape the "-->" sequence in comment content or the "]]>" sequence in CDATA sections when building XML from JavaScript objects. This allows XML injection when user-controlled data flows into comments or CDATA elements, leading to XSS, SOAP injection, or data manipulation. This issue has been patched in version 5.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS