CVE-2026-25128

fast-xml-parser من الإصدار 4.3.6 حتى 5.3.3

يتيح fast-xml-parser للمستخدمين التحقق من صحة ملفات XML، وتحويل XML إلى كائن JS، أو إنشاء XML من كائن JS دون الحاجة إلى مكتبات مبنية على C/C++ ودون استخدام آلية الاستدعاء المرتد (callback). في الإصدارات من 4.3.6 حتى 5.3.3، يحدث خطأ RangeError عند معالجة الكيانات الرقمية أثناء تحليل XML الذي يحتوي على نقاط رموز كيانات خارج النطاق (على سبيل المثال، � أو �). يؤدي ذلك إلى قيام المحلل بإطلاق استثناء غير ملتقط، مما يتسبب في توقف أي تطبيق يعالج مدخلات XML غير موثوقة. تعود المشكلة إلى أن الطريقة String.fromCodePoint() تطلق استثناء RangeError عندما يتجاوز رمز النقطة نطاق Unicode الصالح. قد تتطابق أنماط regex المستخدمة لالتقاط الكيانات الرقمية مع قيم تتجاوز هذا النطاق. تفتقر عملية استبدال الكيانات إلى كتلة try-catch، مما يسمح لـ RangeError بالانتشار وتعطيل المحلل. يثبت نموذج إثبات المفهوم أن إرسال حمولة XML ضارة تحتوي على كيان رقمي خارج النطاق يمكن أن يؤدي إلى تعطيل خادم Node.js يستخدم fast-xml-parser. قد يؤدي ذلك إلى حدوث هجوم «رفض الخدمة» (DoS) في التطبيقات التي تعالج مدخلات XML غير موثوقة، مثل خوادم واجهة برمجة التطبيقات (API)، ومعالجات الملفات، وقوائم انتظار الرسائل، ومحللات موجزات RSS/Atom، وخدمات SOAP/XML-RPC.

قم بالتحديث إلى الإصدار 5.3.4 أو أحدث من fast-xml-parser.