CVE-2026-33349

إصدارات fast-xml-parser من 4.0.0-beta.3 حتى 5.5.6

تستخدم مكونة DocTypeReader في fast-xml-parser بشكل غير صحيح اختبارات ”القيمة الصحيحة“ في JavaScript لتقييم حدود التكوين maxEntityCount وmaxEntitySize. عندما يقوم المطور بتعيين أي من هذين الحدين على القيمة 0، بهدف منع جميع الكيانات أو تقييد حجم الكيان إلى صفر بايت، فإن الطبيعة ”الزائفة“ للقيمة 0 في JavaScript تؤدي إلى تجاوز شروط الحماية، مما يؤدي إلى تجاهل هذه الحدود تمامًا. يمكن للمهاجم الذي يزود التطبيق بمدخلات XML أن يؤدي إلى توسع غير محدود للكيانات، مما يؤدي إلى استنفاد الذاكرة وحجب الخدمة. تؤثر هذه المشكلة على التطبيقات التي تحدد هذه الحدود صراحةً على القيمة 0، حيث إن التكوين الافتراضي غير معرض للخطر.

يجب تحديث الإصدارات من 4.0.0-beta.3 إلى 5.5.6 إلى الإصدار 5.5.7 أو أحدث. كبديل، إذا كنت لا ترغب في معالجة الكيانات، فقم بتعيين علامة processEntities على القيمة false بدلاً من تعيين أي حد على 0.