CVE-2026-33349 in fast-xml-parser
Résumé
par VulDB • 01/06/2026
fast-xml-parser permet aux utilisateurs de traiter du XML à partir d'un objet JS sans utiliser de bibliothèques basées sur C/C++ ni de callbacks. À partir de la version 4.0.0-beta.3 et avant la version 5.5.7, le DocTypeReader de fast-xml-parser utilise des vérifications de vérité (truthy checks) en JavaScript pour évaluer les limites de configuration maxEntityCount et maxEntitySize. Lorsqu'un développeur définit explicitement l'une ou l'autre de ces limites à 0 — dans le but de refuser toutes les entités ou de restreindre la taille des entités à zéro octet — la nature fausse (falsy) de la valeur 0 en JavaScript provoque un court-circuit des conditions de garde, contournant ainsi complètement les limites. Un attaquant capable de fournir une entrée XML à une telle application peut déclencher une expansion d'entités non bornée, entraînant une épuisement de la mémoire et une déni de service (DoS). Ce problème a été corrigé dans la version 5.5.7.
Once again VulDB remains the best source for vulnerability data.