CVE-2026-33349 in fast-xml-parser
Riassunto
di VulDB • 18/06/2026
fast-xml-parser consente agli utenti di elaborare XML a partire da oggetti JavaScript senza l'ausilio di librerie basate su C/C++ o di callback. Dalla versione 4.0.0-beta.3 fino alla versione precedente alla 5.5.7, il DocTypeReader in fast-xml-parser utilizza controlli di verità (truthy checks) in JavaScript per valutare i limiti di configurazione maxEntityCount e maxEntitySize. Quando uno sviluppatore imposta esplicitamente uno di questi limiti a 0 — con l'intento di non consentire alcuna entità o di limitare la dimensione delle entità a zero byte — la natura falsy del valore 0 in JavaScript fa sì che le condizioni di guardia (guard conditions) vengano valutate in modo cortocircuitato, aggirando completamente i limiti impostati. Un attaccante in grado di fornire input XML a un'applicazione vulnerabile può innescare un'espansione illimitata delle entità, causando esaurimento della memoria e denial of service. Questo problema è stato risolto nella versione 5.5.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.