CVE-2026-25896

XSS w fast-xml-parser poprzez manipulację encjami DOCTYPE

CVSS 9.3v3.1pub. 2026-02-20upd. 2026-06-30

Biblioteka fast-xml-parser w wersjach od 4.1.3 do przed 5.3.5 zawiera podatność umożliwiającą atakującemu nadpisanie wbudowanych encji XML (takich jak <, >, &) dowolnymi wartościami. Prowadzi to do obejścia kodowania encji i wykonania ataku XSS w aplikacjach renderujących przetworzone dane XML.

▸ Pokaż oryginał (EN)

fast-xml-parser allows users to validate XML, parse XML to JS object, or build XML from JS object without C/C++ based libraries and no callback. From 4.1.3to before 5.3.5, a dot (.) in a DOCTYPE entity name is treated as a regex wildcard during entity replacement, allowing an attacker to shadow built-in XML entities (<, >, &, ", ') with arbitrary values. This bypasses entity encoding and leads to XSS when parsed output is rendered. This vulnerability is fixed in 5.3.5.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi znaków kropki (.) w nazwach encji zdefiniowanych w sekcji DOCTYPE dokumentu XML — CWE-185 (błąd w wyrażeniu regularnym). Znak kropki jest traktowany jako wieloznacznik regex (wildcard), co pozwala atakującemu zdefiniować encję, której nazwa pasuje do nazw wbudowanych encji XML. W efekcie atakujący może podstawić własne, arbitralne wartości w miejsce standardowych encji takich jak < czy >, skutecznie omijając mechanizm ich kodowania. Gdy wynik przetwarzania takiego dokumentu XML jest następnie renderowany w przeglądarce, wstrzyknięty kod HTML lub JavaScript zostaje wykonany.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu JavaScript w kontekście przeglądarki ofiary (XSS), co umożliwia m.in. kradzież sesji, danych uwierzytelniających lub wykonywanie działań w imieniu użytkownika. Ze względu na zmieniony zakres (Scope: Changed) skutki mogą wykraczać poza bezpośrednio atakowaną aplikację.

Mitygacja

Należy zaktualizować bibliotekę fast-xml-parser do wersji 5.3.5 lub nowszej. Poprawka dostępna jest w oficjalnym wydaniu v5.3.5 w repozytorium GitHub producenta.

Kogo dotyczy

Biblioteka Naturalintelligence fast-xml-parser w wersjach od 4.1.3 do przed 5.3.5 (włącznie).

Uwagi

Podatność została naprawiona w dwóch commitach (943ef0eb oraz ddcd0acf) opublikowanych w ramach wydania v5.3.5. Szczegóły dostępne w security advisory GHSA-m7jm-9gc2-mpf2 na GitHub.