CVE-2023-34104
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
fast-xml-parser to otwarty parser XML w czystym JavaScript, który pozwala na używanie znaków specjalnych w nazwach encji, które nie są odpowiednio zabezpieczone. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków typu denial of service (DoS) poprzez stworzenie nazw encji, które generują nieefektywne wyrażenia regularne.
Ocena ryzyka
Luka ta może prowadzić do zablokowania działania parsera na czas nieokreślony, co może wpłynąć na dostępność aplikacji korzystających z tego komponentu. Organizacje powinny być świadome ryzyka związanego z wykorzystaniem tej biblioteki w krytycznych systemach.
Rekomendacja
Zaleca się aktualizację do wersji 4.2.4 lub nowszej, aby usunąć tę podatność. Użytkownicy, którzy nie mogą zaktualizować, powinni unikać używania analizy DOCTYPE, ustawiając opcję `processEntities: false`.
Inne podatności w fast-xml-parser
Zobacz wszystkie- CVE-2026-25896Krytyczne
W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.
- CVE-2026-73569Wysokie
fast-xml-parser w wersjach od 5.9.3 do 5.10.1 ma podatność związaną z przetwarzaniem wielu deklaracji DOCTYPE w jednym dokumencie XML. Funkcja addInputEntities() resetuje limity ekspansji encji przy każdym wywołaniu, co pozwala na obejście zabezpieczeń i może prowadzić do nadmiernego użycia CPU, zablokowania pętli zdarzeń, wyczerpania pamięci i zakończenia procesu. Problem został naprawiony w wersji 5.10.1.
- CVE-2026-26278Wysokie
Podatność w bibliotece fast-xml-parser umożliwia atak DoS poprzez nieograniczoną ekspansję encji XML. Nawet mały plik XML może spowodować długotrwałe przetwarzanie i zamrożenie aplikacji.
Oryginalny opis (angielski, źródło NVD)
fast-xml-parser is an open source, pure javascript xml parser. fast-xml-parser allows special characters in entity names, which are not escaped or sanitized. Since the entity name is used for creating a regex for searching and replacing entities in the XML body, an attacker can abuse it for denial of service (DoS) attacks. By crafting an entity name that results in an intentionally bad performing regex and utilizing it in the entity replacement step of the parser, this can cause the parser to stall for an indefinite amount of time. This problem has been resolved in v4.2.4. Users are advised to upgrade. Users unable to upgrade should avoid using DOCTYPE parsing by setting the `processEntities: false` option.