CVE-2023-34104 in fast-xml-parser
Riassunto
di VulDB • 16/06/2026
fast-xml-parser è un parser XML open source scritto interamente in JavaScript. fast-xml-parser consente l'uso di caratteri speciali nei nomi delle entità, che non vengono né sfuggiti (escaped) né sanificati. Poiché il nome dell'entità viene utilizzato per creare una regex finalizzata alla ricerca e sostituzione delle entità nel corpo XML, un attaccante può abusarne per condurre attacchi di negazione del servizio (DoS). Creando un nome di entità che generi una regex con prestazioni intenzionalmente scadenti e utilizzandola nella fase di sostituzione delle entità del parser, è possibile causare il blocco indefinito dell'elaborazione. Questo problema è stato risolto nella versione v4.2.4. Si consiglia agli utenti di effettuare l'aggiornamento. Gli utenti che non possono aggiornare dovrebbero evitare l'analisi dei DOCTYPE impostando l'opzione `processEntities: false`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.