PT-2026-34614

CVE-2026-41650

Publicado

2026-04-22

Atualizado

2026-11-02

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas fast-xml-parser versões anteriores a 5.7.0

Descrição O XMLBuilder não escapa a sequência "-->" no conteúdo de comentários nem a sequência ">>" em seções CDATA ao construir XML a partir de objetos JavaScript. Essa falha permite a injeção de XML quando dados controlados pelo usuário fluem para comentários ou elementos CDATA, podendo levar a cross-site scripting (XSS), injeção SOAP ou manipulação de dados.

Recomendações Atualizar para a versão 5.7.0.

Explorabilidade

Exploit

Correção

Pesquisadores

Tharvid

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-91: XML Injection (aka Blind XPath Injection)

Identificadores relacionados

CVE-2026-41650