CVE-2026-25896
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu JavaScript do aplikacji, która renderuje sparsowany XML, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub defacementu strony.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę fast-xml-parser do wersji 5.3.5 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w fast-xml-parser
Zobacz wszystkie- CVE-2026-73569Wysokie
fast-xml-parser w wersjach od 5.9.3 do 5.10.1 ma podatność związaną z przetwarzaniem wielu deklaracji DOCTYPE w jednym dokumencie XML. Funkcja addInputEntities() resetuje limity ekspansji encji przy każdym wywołaniu, co pozwala na obejście zabezpieczeń i może prowadzić do nadmiernego użycia CPU, zablokowania pętli zdarzeń, wyczerpania pamięci i zakończenia procesu. Problem został naprawiony w wersji 5.10.1.
- CVE-2026-26278Wysokie
Podatność w bibliotece fast-xml-parser umożliwia atak DoS poprzez nieograniczoną ekspansję encji XML. Nawet mały plik XML może spowodować długotrwałe przetwarzanie i zamrożenie aplikacji.
- CVE-2023-34104Wysokie
fast-xml-parser to otwarty parser XML w czystym JavaScript, który pozwala na używanie znaków specjalnych w nazwach encji, które nie są odpowiednio zabezpieczone. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków typu denial of service (DoS) poprzez stworzenie nazw encji, które generują nieefektywne wyrażenia regularne.
Oryginalny opis (angielski, źródło NVD)
fast-xml-parser allows users to validate XML, parse XML to JS object, or build XML from JS object without C/C++ based libraries and no callback. From 4.1.3to before 5.3.5, a dot (.) in a DOCTYPE entity name is treated as a regex wildcard during entity replacement, allowing an attacker to shadow built-in XML entities (<, >, &, ", ') with arbitrary values. This bypasses entity encoding and leads to XSS when parsed output is rendered. This vulnerability is fixed in 5.3.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS