CVE-2026-26278
Açıklama
fast-xml-parser; kullanıcıların C/C++ tabanlı kütüphaneler ve geri çağırma (callback) olmadan XML doğrulaması yapmasına, XML'i JS nesnesine dönüştürmesine veya JS nesnesinden XML oluşturmasına olanak tanır. 4.1.3 ile 5.3.6 arasındaki sürümlerde, XML ayrıştırıcısı sınırsız miktarda varlık genişletmesi (entity expansion) yapmaya zorlanabilir. Çok küçük bir XML girdisiyle, ayrıştırıcının tek bir isteği işlemek için saniyeler hatta dakikalar harcaması sağlanarak uygulamanın etkili bir şekilde dondurulması mümkündür. Sürüm 5.3.6 bu sorunu giderir. Geçici bir çözüm olarak, `processEntities: false` seçeneği ile DOCTYPE ayrıştırmasından kaçınılmalıdır.
Nasıl düzeltilir
- naturalintelligence fast-xml-parser5.3.6 ya da sonraki bir sürüm
- fast-xml-parser4.5.4, 5.3.6 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:7110
- access.redhat.com/errata/RHSA-2026:7128
- access.redhat.com/errata/RHSA-2026:6174
- access.redhat.com/errata/RHSA-2026:6802
- access.redhat.com/errata/RHSA-2026:41941
- access.redhat.com/errata/RHSA-2026:41944
- access.redhat.com/errata/RHSA-2026:40984
- access.redhat.com/errata/RHSA-2026:51349
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| naturalintelligence fast-xml-parser | 4.1.3 ≤ v < 5.3.6 | 5.3.6 |
| fast-xml-parsernpm | 4.1.3 ≤ v < 4.5.4, 5.0.0 ≤ v < 5.3.6 | 4.5.4, 5.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.