GHSA-8x4m-qw58-3pcx: टेम्पो में गंभीर सुरक्षा खामियां, संस्करण 0.4.8 से ठीक

CVE-2026-33036 एक गंभीर भेद्यता है जो fast-xml-parser लाइब्रेरी में पाई गई है। एक हमलावर बड़ी संख्या में संख्यात्मक इकाई संदर्भों (numeric entity references) का उपयोग करके इस भेद्यता का फायदा उठा सकता है। यह लाइब्रेरी XML डेटा को पार्स करने के लिए उपयोग की जाती है, और यदि यह भेद्यता मौजूद है, तो हमलावर अत्यधिक मेमोरी आवंटन और CPU खपत का कारण बन सकता है, जिससे सेवा से इनकार (Denial of Service - DoS) हो सकता है। हमलावर XML इनपुट में बड़ी संख्या में &#NNN; और &#xHH; संदर्भों को सम्मिलित करके, लाइब्रेरी के उन कोड पथों को सक्रिय कर सकता है जो किसी भी विस्तार सीमा को लागू नहीं करते हैं। इससे लाइब्रेरी अत्यधिक मात्रा में मेमोरी आवंटित कर सकती है, जिससे सिस्टम अस्थिर हो सकता है या क्रैश हो सकता है। इस भेद्यता का उपयोग संवेदनशील डेटा तक अनधिकृत पहुंच प्राप्त करने या सिस्टम संसाधनों को नियंत्रित करने के लिए किया जा सकता है, खासकर यदि लाइब्रेरी का उपयोग वेब अनुप्रयोगों में किया जा रहा है जो उपयोगकर्ता द्वारा प्रदान किए गए XML डेटा को संसाधित करते हैं। इस भेद्यता का 'ब्लास्ट रेडियस' व्यापक हो सकता है, क्योंकि यह उन सभी अनुप्रयोगों को प्रभावित कर सकता है जो भेद्य संस्करणों का उपयोग करते हैं।

Applications built on Node.js that utilize the fast-xml-parser library for XML parsing are at risk. This includes applications that process XML data from external sources, such as APIs or user uploads. Specifically, applications that have not upgraded to version 5.5.6 or later are vulnerable.

• nodejs / server:

npm audit fast-xml-parser

• nodejs / server:

find / -name "node_modules/fast-xml-parser" -print

• nodejs / server:

ps aux | grep 'fast-xml-parser'

1. 2026-03-17Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-17
3. संशोधित2026-03-25
4. EPSS अद्यतन2026-03-27

CVE-2026-33036 को ठीक करने के लिए, fast-xml-parser को संस्करण 5.5.6 या उससे ऊपर के संस्करण में अपग्रेड करना आवश्यक है। यह संस्करण संख्यात्मक इकाई संदर्भों के लिए विस्तार सीमाओं को लागू करके भेद्यता को ठीक करता है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो एक अस्थायी समाधान के रूप में, XML इनपुट को मान्य करने और बड़ी संख्या में संख्यात्मक इकाई संदर्भों वाले इनपुट को अस्वीकार करने के लिए इनपुट सत्यापन लागू किया जा सकता है। यह सुनिश्चित करें कि XML पार्सिंग के दौरान उपयोग किए जा रहे सभी इनपुट को ठीक से साफ और मान्य किया गया है। अपग्रेड के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता ठीक हो गई है। आप परीक्षण XML इनपुट का उपयोग करके ऐसा कर सकते हैं जिसमें बड़ी संख्या में संख्यात्मक इकाई संदर्भ शामिल हैं और सुनिश्चित करें कि लाइब्रेरी अब अत्यधिक मेमोरी आवंटित नहीं कर रही है या क्रैश नहीं हो रही है। अपग्रेड प्रक्रिया को सावधानीपूर्वक योजनाबद्ध और क्रियान्वित किया जाना चाहिए ताकि सिस्टम की उपलब्धता को कम से कम किया जा सके।

अंतिम अपडेट

5.8.0हाल ही में