平台
nodejs
组件
fast-xml-parser
修复版本
4.0.1
5.5.7
CVE-2026-33349是fast-xml-parser中的一个拒绝服务漏洞。该漏洞源于DocTypeReader使用JavaScript真值检查来评估maxEntityCount和maxEntitySize配置限制，当开发者显式将任一限制设置为0时，会导致限制被绕过，触发无限制的实体扩展，最终导致内存耗尽和拒绝服务。所有低于5.5.7版本的fast-xml-parser都受此漏洞影响。此漏洞已在5.5.7版本中修复。
CVE-2026-33349 漏洞存在于 fast-xml-parser 中 DocTypeReader 组件对 maxEntityCount 和 maxEntitySize 限制的处理方式。代码使用 JavaScript 的 'truthy' 检查来评估这些限制。如果开发人员将其中一个限制明确设置为 0 - 意图完全禁止所有实体或将实体大小限制为零字节 - JavaScript 中 0 的 'falsy' 特性会导致保护条件短路，从而有效地绕过这些限制。能够向此类应用程序提供 XML 输入的攻击者可以触发无限实体扩展，从而导致拒绝服务 (DoS) 条件，或者根据应用程序上下文，可能导致任意代码执行。
此漏洞在将 fast-xml-parser 用于处理来自外部来源的 XML 文件的应用程序中可以被利用，尤其是在 maxEntityCount 和 maxEntitySize 限制已明确设置为 0 的情况下。攻击者可以创建一个恶意 XML 文件，其中包含大量的嵌套实体或具有过大尺寸的实体。解析器无法正确执行限制，将尝试扩展这些实体，消耗服务器资源并可能导致拒绝服务。利用的复杂性取决于攻击者控制 XML 输入的能力以及服务器配置。
Applications built on Node.js that utilize the fast-xml-parser package for XML parsing are at risk. This includes web applications, APIs, and backend services that process XML data from external sources. Specifically, applications that allow user-supplied XML input without proper validation are particularly vulnerable.
• nodejs / supply-chain:
npm list fast-xml-parser• nodejs / server:
npm ls | grep fast-xml-parser• generic web: Inspect application logs for errors related to XML parsing or memory exhaustion. Look for unusually large XML payloads.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
CVE-2026-33349 的主要缓解措施是升级到 fast-xml-parser 的 4.5.5 或更高版本。此版本通过实现更强大的逻辑来检查 maxEntityCount 和 maxEntitySize 限制，从而更正了漏洞，确保即使将其设置为 0，这些限制也能得到正确执行。如果无法立即升级，请避免处理来自不受信任来源的 XML 文件。此外，请审查您的应用程序代码，以识别任何潜在的漏洞输入点，并应用额外的安全措施，例如严格的 XML 输入验证。
Actualice la biblioteca fast-xml-parser a la versión 5.5.7 o superior. Esto corrige la vulnerabilidad de expansión de entidades XML ilimitada que puede provocar una denegación de servicio. La actualización se puede realizar mediante npm o yarn.
漏洞分析和关键警报直接发送到您的邮箱。
在 JavaScript 中，'truthy' 指的是在布尔上下文中评估为 true 的任何值。数字 0 被认为是 'falsy'，这意味着它评估为 false。
fast-xml-parser 的版本 4.5.5 通过实现更安全的实体限制检查逻辑来修复漏洞，从而防止其被绕过。
如果无法立即升级，请避免处理来自不受信任来源的 XML 文件，并检查您的代码是否存在潜在的漏洞输入点。
如果您的应用程序使用 fast-xml-parser 并且已将 maxEntityCount 或 maxEntitySize 设置为 0，则很可能容易受到攻击。
此漏洞可能允许拒绝服务 (DoS) 攻击，通过无限实体扩展消耗服务器资源。
CVSS 向量