CVE-2026-26278

Yüksək

Təsvir

fast-xml-parser istifadəçilərə C/C++ əsaslı kitabxanalar və callback olmadan XML-i təsdiqləməyə, XML-i JS obyektinə çevirməyə və ya JS obyektindən XML qurmağa imkan verir. 4.1.3 ilə 5.3.5 arasındakı versiyalarda XML parserini məhdudiyyətsiz sayda entitilərin genişləndirilməsinə məcbur etmək mümkündür. Çox kiçik bir XML girişi ilə parserin tək bir sorğunu emal etmək üçün saniyələr və hətta dəqiqələr sərf etməsini təmin etmək olar ki, bu da effektiv şəkildə tətbiqin donmasına səbəb olur. Versiya 5.3.6 bu problemi aradan qaldırır. Müvəqqəti həll yolu kimi, `processEntities: false` seçimi vasitəsilə DOCTYPE parsing-dən istifadə etməmək tövsiyə olunur.

CiddilikYüksək

CVSS7.5

İstismar ehtimalı—

MəhsulNaturalintelligence Fast-xml-parser

Dərc19 fev 2026

İlk görülmə19 fev 2026

Zəiflik növüCWE-776CWE-776

Necə düzəltmək olar

Yeniləyin

naturalintelligence fast-xml-parser5.3.6 və ya daha yeni versiya
fast-xml-parser4.5.4, 5.3.6 və ya daha yeni versiya

İstehsalçı bildirişləri

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
naturalintelligence fast-xml-parser	4.1.3 ≤ v < 5.3.6	5.3.6
fast-xml-parsernpm	4.1.3 ≤ v < 4.5.4, 5.0.0 ≤ v < 5.3.6	4.5.4, 5.3.6

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.