CVE-2026-44664

ŚrednieCVSS 6.1

Opublikowano: 13/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W fast-xml-builder w wersji 1.1.5 poprawka dla CVE-2026-41650 w fast-xml-parser sanityzuje sekwencje -- w treści komentarzy XML za pomocą .replace(/--/g, '- -'). Pomija to wartości zawierające trzy kolejne myślniki (np. --->...), co pozwala atakującemu wyjść z komentarza XML i wstrzyknąć dowolną treść XML/HTML. Podatność naprawiono w wersji 1.1.6.

Ocena ryzyka

Atakujący może wstrzyknąć dowolną treść XML/HTML do generowanego dokumentu, co może prowadzić do ataków typu injection. Może to skutkować wykonaniem złośliwego kodu lub fałszowaniem treści.

Rekomendacja

Zaktualizuj fast-xml-builder do wersji 1.1.6 lub nowszej. Sprawdź, czy używana wersja fast-xml-parser zawiera odpowiednie poprawki.

Inne podatności w fast-xml-builder

CVE-2026-44665Średnie
fast-xml-builder buduje XML z JSON. W wersjach przed 1.1.7, gdy dane wejściowe zawierają cudzysłowy w wartościach atrybutów, a przetwarzanie encji nie jest włączone, wartość atrybutu jest rozbijana na wiele atrybutów. Daje to atakującemu możliwość wstawienia niechcianych atrybutów do XML/HTML. Podatność została naprawiona w wersji 1.1.7.

Oryginalny opis (angielski, źródło NVD)

fast-xml-builder builds XML from JSON. In 1.1.5, the fix for CVE-2026-41650 in fast-xml-parser sanitizes -- sequences in XML comment content using .replace(/--/g, '- -'). This skip the values containing three consecutive dashes (e.g., --->...), allowing an attacker to break out of an XML comment and inject arbitrary XML/HTML content. This vulnerability is fixed in 1.1.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS