CVE-2026-44665

ŚrednieCVSS 6.1

Opublikowano: 13/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

fast-xml-builder buduje XML z JSON. W wersjach przed 1.1.7, gdy dane wejściowe zawierają cudzysłowy w wartościach atrybutów, a przetwarzanie encji nie jest włączone, wartość atrybutu jest rozbijana na wiele atrybutów. Daje to atakującemu możliwość wstawienia niechcianych atrybutów do XML/HTML. Podatność została naprawiona w wersji 1.1.7.

Ocena ryzyka

Atakujący może wstrzyknąć dodatkowe atrybuty do generowanego XML/HTML, co może prowadzić do manipulacji strukturą dokumentu, obejścia walidacji lub ataków typu injection w aplikacjach konsumujących wynik. Ryzyko zależy od kontekstu użycia generowanego XML.

Rekomendacja

Zaktualizuj fast-xml-builder do wersji 1.1.7 lub nowszej. Dodatkowo waliduj dane wejściowe przed budowaniem XML oraz rozważ escapowanie cudzysłowów w wartościach atrybutów.

Inne podatności w fast-xml-builder

CVE-2026-44664Średnie
W fast-xml-builder w wersji 1.1.5 poprawka dla CVE-2026-41650 w fast-xml-parser sanityzuje sekwencje -- w treści komentarzy XML za pomocą .replace(/--/g, '- -'). Pomija to wartości zawierające trzy kolejne myślniki (np. --->...), co pozwala atakującemu wyjść z komentarza XML i wstrzyknąć dowolną treść XML/HTML. Podatność naprawiono w wersji 1.1.6.

Oryginalny opis (angielski, źródło NVD)

fast-xml-builder builds XML from JSON. Prior to 1.1.7, when an input data has quotes in attribute values but process entities is not enabled, it breaks the attribute value into multiple attributes. This gives the room for an attacker to insert unwanted attributes to the XML/HTML. This vulnerability is fixed in 1.1.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS