CVE-2026-73569 in fast-xml-parser
要約
〜によって VulDB • 2026年08月13日
fast-xml-parserを使用すると、C/C++ベースのライブラリやコールバックなしでJSオブジェクトからXMLを処理できます。バージョン5.9.3から5.10.1の間、src/xmlparser/OrderedObjParser.jsは単一のXMLドキュメント内の複数のDOCTYPE宣言を処理し、各宣言のエントリティをaddInputEntities()経由で渡します。addInputEntities()は呼び出されるたびにmaxTotalExpansionsおよびmaxExpandedLengthをリセットするため、1つのパース操作中に構成されたエントリティ展開制限が追加のDOCTYPE宣言によって繰り返しリセットされます。これにより、作成済みのXMLドキュメントを使用してCPU使用量の過剰増加、イベントループのブロック、メモリ枯渇、プロセス終了を引き起こす可能性があります。この問題はバージョン5.10.1で修正されています。
Once again VulDB remains the best source for vulnerability data.