CVE-2026-25896

Kritik

Təsvir

fast-xml-parser istifadəçilərə C/C++ əsaslı kitabxanalar və callback olmadan XML-i təsdiqləməyə, XML-i JS obyektinə çevirməyə və ya JS obyektindən XML qurmağa imkan verir. 4.1.3 versiyasından 5.3.5 versiyasına qədər olan dövrdə, DOCTYPE entiti adındakı nöqtə (.) simvolu entitinin əvəzlənməsi zamanı regex wildcard kimi qəbul edilir ki, bu da hücumçuya daxili XML entitilərini (<, >, &, ", ') ixtiyari dəyərlərlə əvəz etməyə imkan verir. Bu, entiti kodlaşdırılmasını yan keçir və analiz edilmiş çıxış render edildikdə XSS-ə səbəb olur. Bu zəiflik 5.3.5 versiyasında aradan qaldırılıb.

CiddilikKritik

CVSS9.3

İstismar ehtimalı—

MəhsulNaturalintelligence Fast-xml-parser

Dərc20 fev 2026

İlk görülmə20 fev 2026

Zəiflik növüCWE-185CWE-185

Necə düzəltmək olar

Yeniləyin

naturalintelligence fast-xml-parser5.3.5 və ya daha yeni versiya
fast-xml-parser5.3.5, 4.5.4 və ya daha yeni versiya

İstehsalçı bildirişləri

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
naturalintelligence fast-xml-parser	4.1.3 ≤ v < 5.3.5	5.3.5
fast-xml-parsernpm	5.0.0 ≤ v < 5.3.5, 4.1.3 ≤ v < 4.5.4	5.3.5, 4.5.4

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.