CVE-2026-33349
CVE-2026-33349 · fast-xml-parser: Entity Expansion Limits Bypassed When Set to Zero Due to JavaScript Falsy Evaluation
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks. From version 4.0.0-beta.3 to before version 5.5.7, the DocTypeReader in fast-xml-parser uses JavaScript truthy checks to evaluate maxEntityCount and maxEntitySize configuration limits. When a developer explicitly sets either limit to 0 — intending to disallow all entities or restrict entity size to zero bytes — the falsy nature of 0 in JavaScript causes the guard conditions to short-circuit, completely bypassing the limits. An attacker who can supply XML input to such an application can trigger unbounded entity expansion, leading to memory exhaustion and denial of service. This issue has been patched in version 5.5.7.
CVSS 5.9 · Moyenne · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
fast-xml-parser
- Versions du logiciel
- >= 4.0.0-beta.3, < 5.5.7: Concernée
Aucun correctif publié
node-webfont Debian:12
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-10
- 11.4.0+dfsg2+~cs35.7.26-11
- 11.4.0+dfsg2+~cs35.7.26-12
- 11.4.0+dfsg2+~cs35.7.26-13
- 11.4.0+dfsg2+~cs35.7.26-14
- 11.4.0+dfsg2+~cs35.7.26-15
- 11.4.0+dfsg2+~cs35.7.26-16
- 11.4.0+dfsg2+~cs35.7.26-18
- 11.4.0+dfsg2+~cs35.7.26-19
- 11.4.0+dfsg2+~cs35.7.26-20
- 11.4.0+dfsg2+~cs35.7.26-21
- 11.4.0+dfsg2+~cs35.7.26-7
- 11.4.0+dfsg2+~cs35.7.26-8
- 11.4.0+dfsg2+~cs35.7.26-9
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-webfont Debian:13
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-13
- 11.4.0+dfsg2+~cs35.7.26-14
- 11.4.0+dfsg2+~cs35.7.26-15
- 11.4.0+dfsg2+~cs35.7.26-16
- 11.4.0+dfsg2+~cs35.7.26-18
- 11.4.0+dfsg2+~cs35.7.26-19
- 11.4.0+dfsg2+~cs35.7.26-20
- 11.4.0+dfsg2+~cs35.7.26-21
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-webfont Debian:14
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-13
- 11.4.0+dfsg2+~cs35.7.26-14
- 11.4.0+dfsg2+~cs35.7.26-15
- 11.4.0+dfsg2+~cs35.7.26-16
- 11.4.0+dfsg2+~cs35.7.26-18
- 11.4.0+dfsg2+~cs35.7.26-19
- 11.4.0+dfsg2+~cs35.7.26-20
- 11.4.0+dfsg2+~cs35.7.26-21
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
fast-xml-parser npm
- Plages de versions concernées
- SEMVER: ≥ 4.0.0-beta.3, < 4.5.5
Mettez à jour vers 4.5.5
fast-xml-parser npm
- Plages de versions concernées
- SEMVER: ≥ 5.0.0, < 5.5.7
Mettez à jour vers 5.5.7
node-webfont Ubuntu:24.04:LTS
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-7ubuntu1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-webfont Ubuntu:25.10
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-10
- 11.4.0+dfsg2+~cs35.7.26-13ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-webfont Ubuntu:26.10
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-18
- 11.4.0+dfsg2+~cs35.7.26-19
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-webfont Ubuntu:26.04:LTS
- Versions du logiciel
- 11.4.0+dfsg2+~cs35.7.26-13ubuntu2
- 11.4.0+dfsg2+~cs35.7.26-14
- 11.4.0+dfsg2+~cs35.7.26-15
- 11.4.0+dfsg2+~cs35.7.26-16build1
- 11.4.0+dfsg2+~cs35.7.26-18
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié