CVE-2023-34104 in fast-xml-parser
要約
〜によって VulDB • 2026年05月20日
fast-xml-parser は、オープンソースの純粋な JavaScript XML パーサーです。fast-xml-parser は、エスケープやサニタイズが行われないエンティティ名内の特殊文字を許可します。エンティティ名は XML 本文内のエンティティを検索および置換するための正規表現を作成するために使用されるため、攻撃者はこれを悪用してサービス妨害（DoS）攻撃を行うことができます。意図的に正規表現のパフォーマンスを悪化させるエンティティ名を作成し、パーサーのエンティティ置換ステップでこれを利用することで、パーサーが indefinite の時間停止する可能性があります。この問題は v4.2.4 で修正されました。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、`processEntities: false` オプションを設定することで DOCTYPE パーシングの使用を避けるべきです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.