CVE-2026-33349
Təsvir
fast-xml-parser istifadəçilərə C/C++ əsaslı kitabxanalar və ya callback-lər olmadan JS obyektindən XML emal etməyə imkan verir. Versiya 4.0.0-beta.3-dən versiya 5.5.7-yə qədər olan hissədə fast-xml-parser-dəki DocTypeReader, maxEntityCount və maxEntitySize konfiqurasiya limitlərini qiymətləndirmək üçün JavaScript truthy yoxlamalarından istifadə edir. Tərtibatçı hər hansı bir limiti açıq şəkildə 0 təyin etdikdə — bütün entitiləri qadağan etmək və ya entiti ölçüsünü sıfır bayta məhdudlaşdırmaq məqsədilə — JavaScript-də 0-ın falsy xüsusiyyəti mühafizə şərtlərinin qısayolla işləməsinə səbəb olur və limitlərin tamamilə yan keçilməsinə gətirib çıxarır. Belə bir tətbiqə XML girişi təmin edə bilən hücumçu, məhdudiyyətsiz entiti genişlənməsini tetikləyə bilər ki, bu da yaddaşın tükənməsinə və xidmətdən imtinaya (DoS) səbəb olar. Bu problem 5.5.7 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- naturalintelligence fast-xml-parser4.5.5, 5.5.7 və ya daha yeni versiya
- fast-xml-parser4.5.5, 5.5.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| naturalintelligence fast-xml-parser | 4.0.1 ≤ v < 4.5.5, 5.0.0 ≤ v < 5.5.7, 4.0.0 | 4.5.5, 5.5.7 |
| fast-xml-parsernpm | 4.0.0-beta.3 ≤ v < 4.5.5, 5.0.0 ≤ v < 5.5.7 | 4.5.5, 5.5.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.