PT-2026-144665
CVE-2026-126066
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
fast-xml-parser الإصدارات السابقة لـ 5.12.0
Description
عند تفعيل خيار
stopNodes غير الافتراضي، يكون البرنامج عرضة لاستنفاد وحدة المعالجة المركزية (CPU). تقوم الدالة readStopNodeData() في OrderedObjParser.js باستدعاء readTagExp() لكل رمز "أصغر من" في جسم عقدة إيقاف (stop-node) غير مكتمل. ونظرًا لأن البحث الفاشل عن رمز "أكبر من" للإغلاق لا يتم تخزينه مؤقتًا أو تحديده، يقوم المحلل بإعادة فحص المدخلات المتبقية بشكل متكرر. يمكن للمهاجم الذي يقدم XML يحتوي على العديد من أجزاء العلامات بدون رمز إغلاق أن يتسبب في إعادة فحص تربيعية، مما يؤدي إلى حظر حلقة أحداث Node.js والتسبب في حجب الخدمة.Recommendations
التحديث إلى الإصدار 5.12.0.
كإجراء تخفيف مؤقت، قم بتعطيل خيار
stopNodes عند تحليل ملفات XML غير الموثوقة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾