PT-2026-25995
CVE-2026-33036
·
تاريخ النشر
2026-03-17
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات fast-xml-parser من 4.0.0-beta.3 حتى 5.5.5
الوصف
يتيح برنامج fast-xml-parser للمستخدمين معالجة لغة XML من كائنات JavaScript دون الاعتماد على المكتبات أو وظائف الاستدعاء المرتدة القائمة على لغتي C/C++. تحتوي الإصدارات من 4.0.0-beta.3 إلى 5.5.5 على ثغرة تسمح لمراجع الأحرف الرقمية (&#NNN;، &#xHH;) وكيانات XML القياسية بالتحايل على حدود توسيع الكيانات (مثل
maxTotalExpansions وmaxExpandedLength) التي تم تنفيذها في الأصل لمعالجة الثغرة الأمنية CVE-2026-26278. يتيح هذا الثغرة إحداث هجوم رفض الخدمة من خلال توسيع كيانات XML. السبب الجذري هو أن الدالة replaceEntitiesValue() في ملف OrderedObjParser.js تفرض حساب التوسيع فقط على الكيانات المحددة في DOCTYPE، في حين أن الحلقة التي تتعامل مع الكيانات الرقمية والقياسية لا تقوم بأي حساب. يمكن للمهاجم توفير عدد كبير من مراجع الكيانات الرقمية، مثل مليون مثيل من A، لإجبار النظام على تخصيص مساحة كبيرة من الذاكرة (حوالي 147 ميجابايت) وزيادة استخدام وحدة المعالجة المركزية (CPU) بشكل كبير، مما قد يؤدي إلى تعطل العملية حتى مع تكوين حدود صارمة.التوصيات
تتأثر إصدارات fast-xml-parser الأقدم من 5.5.6 بهذه المشكلة.
قم بالتحديث إلى الإصدار 5.5.6 أو أحدث لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾