CVE-2023-34104 in fast-xml-parser
요약
\~에 의해 VulDB • 2026. 05. 12.
fast-xml-parser는 오픈 소스 순수 JavaScript XML 파서입니다. fast-xml-parser는 엔티티 이름에 특수 문자를 허용하며, 이러한 문자는 이스케이프되거나 sanitization(정제)되지 않습니다. 엔티티 이름은 XML 본문에서 엔티티를 검색하고 교체하기 위한 정규식(regex) 생성에 사용되므로, 공격자가 이를 악용하여 서비스 거부(Denial of Service, DoS) 공격을 수행할 수 있습니다. 의도적으로 성능이 저하되는 정규식을 생성하는 엔티티 이름을 작성하고 파서의 엔티티 교체 단계에서 이를 활용하면, 파서가 무기한 동안 중단(stall)될 수 있습니다. 이 문제는 v4.2.4에서 해결되었습니다. 사용자는 업그레이드를 권장합니다. 업그레이드가 불가능한 사용자는 `processEntities: false` 옵션을 설정하여 DOCTYPE 파싱을 사용하지 않도록 해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.