CVE-2026-33349 in fast-xml-parser
الملخص
بحسب VulDB • 11/05/2026
يتيح fast-xml-parser للمستخدمين معالجة بيانات XML من كائن JavaScript دون الحاجة إلى مكتبات مبنية على C/C++ أو استخدام الدوال الاستدعائية (callbacks). من الإصدار 4.0.0-beta.3 وحتى ما قبل الإصدار 5.5.7، يستخدم DocTypeReader في fast-xml-parser فحوصات القيم الحقيقية (truthy checks) في JavaScript لتقييم حدود التكوين الخاصة بـ maxEntityCount و maxEntitySize. عندما يضبط المطور أيًا من هذين الحدين صراحةً على القيمة 0 — بقصد منع جميع الكيانات (entities) أو تقييد حجم الكيان إلى صفر بايت — فإن الطبيعة الكاذبة (falsy) للقيمة 0 في JavaScript تؤدي إلى اختصار تقييم شروط الحماية (short-circuit)، مما يتجاوز الحدود تمامًا. يمكن لمهاجم قادر على تزويد التطبيق بإدخال XML باستغلال هذه الثغرة لإطلاق توسع غير محدود للكيانات، مما يؤدي إلى استنفاد الذاكرة وحرمان الخدمة (Denial of Service). تم إصلاح هذه المشكلة في الإصدار 5.5.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.