CVE-2026-33349 in fast-xml-parser
Sumário
de VulDB • 01/06/2026
O fast-xml-parser permite que os usuários processem XML a partir de objetos JS sem o uso de bibliotecas baseadas em C/C++ ou callbacks. Da versão 4.0.0-beta.3 até antes da versão 5.5.7, o DocTypeReader no fast-xml-parser utiliza verificações de verdade (truthy checks) em JavaScript para avaliar os limites de configuração maxEntityCount e maxEntitySize. Quando um desenvolvedor define explicitamente um desses limites como 0 — com a intenção de proibir todas as entidades ou restringir o tamanho das entidades a zero bytes — a natureza falsa (falsy) do valor 0 em JavaScript faz com que as condições de proteção sejam ignoradas (short-circuit), contornando completamente os limites. Um atacante que possa fornecer entrada XML a tal aplicativo pode desencadear uma expansão ilimitada de entidades, levando ao esgotamento de memória e negação de serviço. Este problema foi corrigido na versão 5.5.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.