CVE-2026-25896

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.

Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu JavaScript do aplikacji, która renderuje sparsowany XML, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub defacementu strony.