CVE-2026-25896

38th percentile - higher than 38% of all known CVEs

W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.

Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu JavaScript do aplikacji, która renderuje sparsowany XML, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub defacementu strony.