CVE-2026-33349 in fast-xml-parser
요약
\~에 의해 VulDB • 2026. 06. 01.
fast-xml-parser를 사용하면 C/C++ 기반 라이브러리나 콜백 없이 JS 객체에서 XML을 처리할 수 있습니다. 버전 4.0.0-beta.3부터 5.5.7 이전 버전까지 fast-xml-parser의 DocTypeReader는 maxEntityCount 및 maxEntitySize 구성 제한을 평가하기 위해 JavaScript의 truthy 체크를 사용합니다. 개발자가 모든 엔티티를 허용하지 않거나 엔티티 크기를 0바이트로 제한하려는 의도로 이러한 제한 중 하나를 명시적으로 0으로 설정하면, JavaScript에서 0의 falsy 특성으로 인해 보호 조건이 단락되어 제한이 완전히 우회됩니다. 이러한 애플리케이션에 XML 입력을 제공할 수 있는 공격자는 무제한 엔티티 확장을 트리거하여 메모리 고갈 및 서비스 거부(Denial of Service)를 유발할 수 있습니다. 이 문제는 버전 5.5.7에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.