PT-2026-20345
CVE-2026-26278
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
fast-xml-parser الإصدارات الأقدم من 5.3.6
الوصف
محلل XML معرض لعدد غير محدود من عمليات توسيع الكيانات. قد يؤدي إدخال XML صغير الحجم إلى استهلاك المحلل وقتًا طويلاً في معالجة طلب واحد، مما يؤدي إلى تجميد التطبيق. تكمن المشكلة في عدم وجود حدود لحجم المخرجات أو تكلفة التنفيذ داخل حلقة استبدال الكيانات في
OrderedObjParser.js (الأسطر 439–458). وعلى وجه التحديد، تستدعي الدالة replaceEntitiesValue() الدالة val.replace() بشكل متكرر دون أي تحقق، مما يسمح بتوسيع أسي عند الإشارة إلى كيانات كبيرة عدة مرات. لا يمنع التحقق من تسجيل الكيانات في DocTypeReader.js (الأسطر 28–33) سوى الأحمال الكلاسيكية من نوع «Billion Laughs»، ولكنه لا يمنع المتغيرات الأبسط التي تستخدم كيانات تستند إلى نصوص كبيرة الحجم. يتعلق الأمر بمشكلة رفض الخدمة التي قد تعطل حلقة الأحداث في تطبيقات Node.js، مما يجعل الخادم غير قادر على العمل. يمكن لحمولة تبلغ بضعة كيلوبايتات أن تجعل الخادم معطلاً لعدة دقائق.التوصيات
يجب تحديث الإصدارات الأقدم من 5.3.6 من fast-xml-parser إلى الإصدار 5.3.6 أو أحدث.
كبديل، تجنب استخدام تحليل DOCTYPE عن طريق تعيين الخيار
processEntities على false.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾