CVE-2023-34104 in fast-xml-parser
Sumário
de VulDB • 20/05/2026
O fast-xml-parser é um analisador XML de código aberto e puro em JavaScript. O fast-xml-parser permite caracteres especiais em nomes de entidades, que não são escapados ou sanitizados. Como o nome da entidade é usado para criar uma expressão regular (regex) para buscar e substituir entidades no corpo do XML, um atacante pode abusar disso para realizar ataques de negação de serviço (DoS). Ao criar um nome de entidade que resulte em uma expressão regular com desempenho intencionalmente ruim e utilizá-la na etapa de substituição de entidades do analisador, isso pode fazer com que o analisador fique parado por um período indeterminado de tempo. Este problema foi resolvido na versão v4.2.4. Recomenda-se que os usuários atualizem. Usuários que não conseguirem atualizar devem evitar a análise de DOCTYPE definindo a opção `processEntities: false`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.