CVE-2026-33349 in fast-xml-parser
Сводка
по VulDB • 01.06.2026
fast-xml-parser позволяет пользователям обрабатывать XML из объектов JS без использования библиотек на базе C/C++ или обратных вызовов (callbacks). Начиная с версии 4.0.0-beta.3 и вплоть до версии 5.5.7 (не включительно), компонент DocTypeReader в fast-xml-parser использует проверки истинности (truthy checks) в JavaScript для оценки лимитов конфигурации maxEntityCount и maxEntitySize. Когда разработчик явно устанавливает один из этих лимитов в 0 — с намерением запретить использование всех сущностей или ограничить размер сущности нулевым количеством байт — ложностное значение (falsy nature) нуля в JavaScript приводит к сокращенной оценке (short-circuit) условий защиты, что полностью обходит установленные ограничения. Атакующий, имеющий возможность предоставить XML-ввод такому приложению, может спровоцировать неограниченное расширение сущностей (unbounded entity expansion), что приведет к исчерпанию памяти и отказу в обслуживании (DoS). Данная проблема исправлена в версии 5.5.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.