CVE-2026-41650
MediumSummary
fast-xml-parser przed wersją 5.7.0 nie poprawnie obsługuje sekwencje komentarzy i CDATA w XML, co prowadzi do możliwości wstrzyknięcia XML. Użytkownicy mogą przetwarzać XML z obiektów JS bez użycia bibliotek C/C++ lub callbacków.
Risk Assessment
Wstrzyknięcie XML może prowadzić do nieautoryzowanego dostępu do danych lub wykonania niepożądanych operacji w aplikacji. To stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu.
Recommendation
Zaleca się aktualizację fast-xml-parser do wersji 5.7.0 lub nowszej, aby zabezpieczyć aplikację przed możliwością wstrzyknięcia XML.
Original NVD description (English source)
fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. Prior to version 5.7.0, XMLBuilder does not escape the "-->" sequence in comment content or the "]]>" sequence in CDATA sections when building XML from JavaScript objects. This allows XML injection