CVE-2023-34104 in fast-xml-parser
Zusammenfassung
von VulDB • 20.05.2026
fast-xml-parser ist ein Open-Source-XML-Parser in reinem JavaScript. fast-xml-parser erlaubt Sonderzeichen in Entity-Namen, die nicht maskiert oder bereinigt werden. Da der Entity-Name zur Erstellung eines regulären Ausdrucks (Regex) zur Suche und zum Ersetzen von Entities im XML-Body verwendet wird, kann ein Angreifer dies für Denial-of-Service-Angriffe (DoS) ausnutzen. Durch die Erstellung eines Entity-Namens, der zu einem absichtlich schlecht performenden Regex führt, und dessen Verwendung im Entity-Ersetzungsschritt des Parsers kann der Parser für eine unbestimmte Zeit angehalten werden. Dieses Problem wurde in v4.2.4 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die kein Upgrade durchführen können, sollten die DOCTYPE-Parserung vermeiden, indem sie die Option `processEntities: false` setzen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.