CVE-2023-34104 in fast-xml-parser
Resumen
por VulDB • 2026-05-20
fast-xml-parser es un analizador XML de código abierto y puro en JavaScript. fast-xml-parser permite caracteres especiales en los nombres de entidades, los cuales no se escapan ni se sanitizan. Dado que el nombre de la entidad se utiliza para crear una expresión regular (regex) destinada a buscar y reemplazar entidades en el cuerpo XML, un atacante puede abusar de esta funcionalidad para llevar a cabo ataques de denegación de servicio (DoS). Al crear un nombre de entidad que resulte en una expresión regular con un rendimiento intencionalmente deficiente y utilizarla en la etapa de reemplazo de entidades del analizador, se puede provocar que el analizador se bloquee durante un período de tiempo indefinido. Este problema se ha resuelto en la versión v4.2.4. Se recomienda a los usuarios actualizar. Los usuarios que no puedan actualizar deben evitar el análisis de DOCTYPE configurando la opción `processEntities: false`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.