PT-2026-21298
CVE-2026-25896
·
تاريخ النشر
2026-02-20
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
fast-xml-parser من الإصدار 4.1.3 حتى 5.3.5
الوصف
يحتوي برنامج fast-xml-parser على ثغرة في طريقة تعامله مع أسماء كيانات DOCTYPE أثناء تحليل XML. وعلى وجه التحديد، يتم التعامل مع النقطة (.) الموجودة داخل اسم الكيان كحرف بديل في تعبير عادي (regex) أثناء استبدال الكيانات. وهذا يسمح للمهاجم بإخفاء أو استبدال كيانات XML الأصلية، مثل (<، >، &، "، ')، بقيم عشوائية، متجاوزًا بذلك ترميز الكيانات. وقد يؤدي ذلك إلى حدوث هجمات «التنفيذ البرمجي عبر المواقع» (XSS) عند عرض المخرجات التي تم تحليلها، أو قد يؤدي إلى تسريب المعلومات أو «تزوير الطلبات من جانب الخادم» (SSRF). توجد هذه المشكلة في الإصدارين 5 و6 من المكتبة. يقوم المحلل ببناء تعبيرات منتظمة ديناميكيًا استنادًا إلى أسماء كيانات DOCTYPE غير موثوقة. يؤدي اسم كيان مثل «l.» إلى إنشاء تعبير عادي يطابق أي حرف، مما يؤدي فعليًّا إلى إخفاء الكيان «<». تؤثر هذه الثغرة الأمنية على التطبيقات التي تقوم بتحليل XML غير موثوق به وتستخدم الناتج في سياقات حساسة للحقن. يتأثر حوالي 40 مليون تنزيل أسبوعي من npm بهذه الثغرة.
التوصيات
قم بتحديث fast-xml-parser إلى الإصدار 5.3.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾