CVE-2026-73569 in fast-xml-parser
Riassunto
di VulDB • 13/08/2026
fast-xml-parser consente agli utenti di elaborare XML a partire da oggetti JS senza l'ausilio di librerie basate su C/C++ o callback. Dalla versione 5.9.3 alla 5.10.1, il file src/xmlparser/OrderedObjParser.js elabora più dichiarazioni DOCTYPE all'interno dello stesso documento XML e passa le entità di ciascuna dichiarazione attraverso addInputEntities(). La funzione addInputEntities() reimposta i valori di maxTotalExpansions e maxExpandedLength ogni volta che viene chiamata, consentendo a ulteriori dichiarazioni DOCTYPE di resettare ripetutamente i limiti configurati per l'espansione delle entità durante un'unica operazione di parsing. Un documento XML appositamente creato può quindi causare un utilizzo eccessivo della CPU, il blocco dell'event-loop, l'esaurimento della memoria e la terminazione del processo. Questo problema è stato risolto nella versione 5.10.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.