PT-2026-34614 · Npm · Fast-Xml-Parser

Tharvid · Publicado 2026-04-22 · Atualizado 2026-05-18 · CVE-2026-41650

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas fast-xml-parser versões anteriores a 5.7.0

Descrição O XMLBuilder não escapa a sequência "-->" no conteúdo de comentários nem a sequência ">>" em seções CDATA ao construir XML a partir de objetos JavaScript. Essa falha permite a injeção de XML quando dados controlados pelo usuário fluem para comentários ou elementos CDATA, podendo levar a cross-site scripting (XSS), injeção SOAP ou manipulação de dados.

Recomendações Atualizar para a versão 5.7.0.

Exploit

Correção

Enumeração de Fraquezas

CWE-91

Identificadores relacionados

CLEANSTART-2026-AD27625

CVE-2026-41650

GHSA-GH4J-GQV2-49F6

Produtos afetados

Fast-Xml-Parser

Referências · 84

• 🔥 https://github.com/NaturalIntelligence/fast-xml-parser/security/advisories/GHSA-gh4j-gqv2-49f6 · Exploit
• https://github.com/NaturalIntelligence/fast-xml-parser/releases/tag/v5.6.0 · Nota
• https://github.com/NaturalIntelligence/fast-xml-parser · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-AD27625.json · Nota
• https://osv.dev/vulnerability/ghsa-3mfm-83xf-c92r · Nota
• https://osv.dev/vulnerability/CVE-2026-4926 · Nota
• https://ubuntu.com/security/CVE-2026-41650 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-41650 · Aviso do Fabricante
• https://osv.dev/vulnerability/ghsa-7rx3-28cr-v5wh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33349 · Nota de Segurança
• https://osv.dev/vulnerability/ghsa-7r86-cg39-jmmj · Nota
• https://t.me/CVEtracker/52994 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2047168309620027483 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33036 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2026-41650 · Nota de Segurança