Podatności fast-xml-parser

W bibliotece fast-xml-parser w wersjach od 4.1.3 do 5.3.5 kropka (.) w nazwie encji DOCTYPE jest traktowana jako symbol wieloznaczny wyrażenia regularnego podczas zastępowania encji. Pozwala to atakującemu na nadpisanie wbudowanych encji XML (<, >, &, ", ') dowolnymi wartościami, co omija kodowanie encji i prowadzi do podatności na XSS po wyrenderowaniu sparsowanego wyjścia.

fast-xml-parser w wersjach od 5.9.3 do 5.10.1 ma podatność związaną z przetwarzaniem wielu deklaracji DOCTYPE w jednym dokumencie XML. Funkcja addInputEntities() resetuje limity ekspansji encji przy każdym wywołaniu, co pozwala na obejście zabezpieczeń i może prowadzić do nadmiernego użycia CPU, zablokowania pętli zdarzeń, wyczerpania pamięci i zakończenia procesu. Problem został naprawiony w wersji 5.10.1.

Podatność w bibliotece fast-xml-parser umożliwia atak DoS poprzez nieograniczoną ekspansję encji XML. Nawet mały plik XML może spowodować długotrwałe przetwarzanie i zamrożenie aplikacji.

fast-xml-parser to otwarty parser XML w czystym JavaScript, który pozwala na używanie znaków specjalnych w nazwach encji, które nie są odpowiednio zabezpieczone. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków typu denial of service (DoS) poprzez stworzenie nazw encji, które generują nieefektywne wyrażenia regularne.