CVE-2026-88385

ŚrednieCVSS 6.5

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Mini-XML 4.0.5 zawiera podatność na wyciek pamięci w funkcji mxml_load_data() podczas parsowania nieprawidłowego XML. Specjalnie spreparowane dane XML mogą spowodować, że węzły tekstowe przydzielone przez mxmlNewText() zostaną odłączone przed przekazaniem kontroli do ścieżki czyszczenia po błędzie parsowania. Te osierocone węzły nie są zwalniane, co prowadzi do trwałego wycieku pamięci przy każdej próbie parsowania.

Ocena ryzyka

Powtarzające się żądania kontrolowane przez atakującego mogą spowodować kumulatywne wyczerpanie pamięci i odmowę usługi.

Rekomendacja

Zaktualizuj bibliotekę Mini-XML do wersji zawierającej poprawkę lub ogranicz dostęp do parsowania niezaufanych danych XML.

Inne podatności w Mini-XML

CVE-2026-110604Niskie
Mini-XML w wersjach od 4.0.0 do 4.0.6 zawiera błąd zapisu poza granicami stosu typu off-by-one w funkcji mxml_strtod(), gdy separator dziesiętny locale nie jest kropką '.'. Atakujący może dostarczyć XML z 63-cyfrową wartością REAL zakończoną '.', aby zapisać bajt NUL poza 64-bajtowym buforem stosu, uszkadzając pamięć stosu lub powodując awarię procesu.

Oryginalny opis (angielski, źródło NVD)

Mini-XML 4.0.5 contains a memory leak vulnerability in mxml_load_data() during malformed XML parsing. Specially crafted XML input can cause text nodes allocated by mxmlNewText() to become unlinked before a parse error transfers control to the cleanup path. These orphaned nodes are not released, resulting in a persistent memory leak on each parsing attempt. Repeated attacker-controlled requests can cause cumulative memory exhaustion and denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS