p PatchFirst

CVE-2026-115506

CVE-2026-115506 · libexpat through 2.9.0 Denial of Service via Billion Laughs Detection Delay

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

libexpat through 2.9.0 contains a denial of service vulnerability because billion laughs protection in accountingDiffTolerated() in xmlparse.c detects entity amplification too late. Attackers can supply a moderately sized XML document with a large DTD and nested entity expansions to consume tens of seconds of CPU per parse.

CVSS 8.7 · Alta · EPSS 0,5%

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • libexpat

    Versiones
    • ≥ 0, ≤ 2.9.0: Afectada (semver)

    Sin corrección publicada

  • expat Debian:12

    Versiones
    • 2.5.0-1
    • 2.5.0-1+deb12u1
    • 2.5.0-1+deb12u2
    • 2.5.0-1+deb12u3
    • 2.5.0-1+deb12u4
    • 2.5.0-1+deb12u5
    • 2.5.0-2
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.1-2
    • 2.6.2-1
    • 2.6.2-2
    • 2.6.3-1
    • 2.6.3-2
    • 2.6.4-1
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • expat Debian:13

    Versiones
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • expat Debian:14

    Versiones
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →