CVE-2026-33349
Açıklama
fast-xml-parser, kullanıcıların C/C++ tabanlı kütüphaneler veya geri çağırmalar olmadan JS nesnesinden XML işlemesine olanak tanır. 4.0.0-beta.3 sürümünden 5.5.7 sürümü öncesine kadar, fast-xml-parser içindeki DocTypeReader, maxEntityCount ve maxEntitySize yapılandırma sınırlarını değerlendirmek için JavaScript truthy kontrollerini kullanır. Bir geliştirici, tüm varlıkları yasaklamak veya varlık boyutunu sıfır bayt ile sınırlamak amacıyla bu sınırlardan herhangi birini açıkça 0 olarak ayarladığında, JavaScript'te 0'ın falsy doğası koruma koşullarının kısa devre yapmasına neden olur ve sınırların tamamen atlanmasına yol açar. Bu tür bir uygulamaya XML girdisi sağlayabilen bir saldırgan, sınırsız varlık genişlemesini tetikleyerek bellek tükenmesine ve hizmet reddine (DoS) neden olabilir. Bu sorun 5.5.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- naturalintelligence fast-xml-parser4.5.5, 5.5.7 ya da sonraki bir sürüm
- fast-xml-parser4.5.5, 5.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| naturalintelligence fast-xml-parser | 4.0.1 ≤ v < 4.5.5, 5.0.0 ≤ v < 5.5.7, 4.0.0 | 4.5.5, 5.5.7 |
| fast-xml-parsernpm | 4.0.0-beta.3 ≤ v < 4.5.5, 5.0.0 ≤ v < 5.5.7 | 4.5.5, 5.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.