p PatchFirst

CVE-2026-44664

CVE-2026-44664 · fast-xml-builder: Comment Value bypass regex

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

fast-xml-builder builds XML from JSON. In 1.1.5, the fix for CVE-2026-41650 in fast-xml-parser sanitizes -- sequences in XML comment content using .replace(/--/g, '- -'). This skip the values containing three consecutive dashes (e.g., --->...), allowing an attacker to break out of an XML comment and inject arbitrary XML/HTML content. This vulnerability is fixed in 1.1.6.

CVSS 6.1 · Mittel · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • fast-xml-builder

    Softwareversionen
    • 1.1.5: Betroffen

    Keine Korrektur veröffentlicht

  • fast-xml-builder npm

    Softwareversionen
    • 1.1.5
    Betroffene Versionsbereiche
    • SEMVER: ≥ 1.1.5, < 1.1.6

    Auf 1.1.6 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →