CVE-2026-126066

Nome do Software Vulnerável e Versões Afetadas fast-xml-parser versões anteriores a 5.12.0

Description Quando a opção não padrão stopNodes está ativada, o software está suscetível ao esgotamento de CPU. A função readStopNodeData() em OrderedObjParser.js chama readTagExp() para cada caractere de menor-que em um corpo de stop-node não terminado. Como a busca malsucedida por um caractere de maior-que de fechamento não é armazenada em cache nem limitada, o parser reescaneia repetidamente a entrada restante. Um invasor que forneça XML com inúmeros fragmentos de tag sem um caractere de fechamento pode desencadear um reescaneamento quadrático, o que bloqueia o loop de eventos do Node.js e leva a uma negação de serviço.

Recommendations Atualize para a versão 5.12.0. Como mitigação temporária, desative a opção stopNodes ao analisar XML não confiável.