CVE-2026-33349
MediumSummary
fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. W wersjach od 4.0.0-beta.3 do przed 5.5.7, DocTypeReader w fast-xml-parser wykorzystuje sprawdzanie wartości prawdziwych w JavaScript do oceny limitów konfiguracji maxEntityCount i maxEntitySize.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do niekontrolowanego przetwarzania dużych ilości danych XML, co może skutkować przeciążeniem systemu lub atakami typu Denial of Service.
Recommendation
Zaleca się aktualizację fast-xml-parser do wersji 5.5.7 lub nowszej, aby usunąć tę podatność oraz wprowadzenie odpowiednich limitów na przetwarzane dane XML.
Original NVD description (English source)
fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. From version 4.0.0-beta.3 to before version 5.5.7, the DocTypeReader in fast-xml-parser uses JavaScript truthy checks to evaluate maxEntityCount and maxEntitySize configuration limits. When a devel