CVE-2026-33349
ŚrednieStreszczenie
fast-xml-parser umożliwia przetwarzanie XML z obiektów JS bez użycia bibliotek opartych na C/C++ lub callbacków. W wersjach od 4.0.0-beta.3 do przed 5.5.7, DocTypeReader w fast-xml-parser wykorzystuje sprawdzanie wartości prawdziwych w JavaScript do oceny limitów konfiguracji maxEntityCount i maxEntitySize.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do niekontrolowanego przetwarzania dużych ilości danych XML, co może skutkować przeciążeniem systemu lub atakami typu Denial of Service.
Rekomendacja
Zaleca się aktualizację fast-xml-parser do wersji 5.5.7 lub nowszej, aby usunąć tę podatność oraz wprowadzenie odpowiednich limitów na przetwarzane dane XML.
Oryginalny opis (angielski, źródło NVD)
fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. From version 4.0.0-beta.3 to before version 5.5.7, the DocTypeReader in fast-xml-parser uses JavaScript truthy checks to evaluate maxEntityCount and maxEntitySize configuration limits. When a devel