CVE-2026-33349 in fast-xml-parser
Zusammenfassung
von VulDB • 01.06.2026
fast-xml-parser ermöglicht es Benutzern, XML aus JS-Objekten zu verarbeiten, ohne C/C++-basierte Bibliotheken oder Callbacks zu verwenden. Von Version 4.0.0-beta.3 bis vor Version 5.5.7 verwendet der DocTypeReader in fast-xml-parser JavaScript-Truthiness-Prüfungen, um die Konfigurationsgrenzwerte für maxEntityCount und maxEntitySize auszuwerten. Wenn ein Entwickler einen dieser Grenzwerte explizit auf 0 setzt – mit der Absicht, alle Entities zu verbieten oder die Entity-Größe auf null Bytes zu beschränken – führt die falsche Natur von 0 in JavaScript dazu, dass die Guard-Bedingungen kurzgeschlossen werden, wodurch die Grenzwerte vollständig umgangen werden. Ein Angreifer, der in der Lage ist, XML-Eingaben an eine solche Anwendung zu liefern, kann eine unbegrenzte Entity-Expansion auslösen, was zu einer Erschöpfung des Arbeitsspeichers und einem Denial of Service (DoS) führt. Dieses Problem wurde in Version 5.5.7 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.