CVE-2023-34104
Təsvir
fast-xml-parser açıq mənbəli, təmiz javascript xml parseridir. fast-xml-parser entiti adlarında escape edilməmiş və ya təmizlənməmiş xüsusi simvollara icazə verir. Entiti adı XML gövdəsindəki entitiləri axtarmaq və əvəz etmək üçün regex yaratmaqda istifadə edildiyi üçün hücumçu bundan xidmətdən imtina (DoS) hücumları üçün istifadə edə bilər. Qəsdən zəif performanslı regex ilə nəticələnən bir entiti adı hazırlamaqla və ondan parserin entiti əvəzləmə mərhələsində istifadə etməklə, parserin qeyri-müəyyən müddətə donmasına səbəb olmaq mümkündür. Bu problem v4.2.4 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər `processEntities: false` seçimini təyin etməklə DOCTYPE parsing-dən istifadə etməməlidirlər.
Necə düzəltmək olar
- naturalintelligence fast-xml-parser4.2.4 və ya daha yeni versiya
- fast-xml-parser4.2.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| naturalintelligence fast-xml-parser | v < 4.2.4 | 4.2.4 |
| fast-xml-parsernpm | 4.1.3 ≤ v < 4.2.4 | 4.2.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.