p PatchFirst

CVE-2026-115506

CVE-2026-115506 · libexpat through 2.9.0 Denial of Service via Billion Laughs Detection Delay

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

libexpat through 2.9.0 contains a denial of service vulnerability because billion laughs protection in accountingDiffTolerated() in xmlparse.c detects entity amplification too late. Attackers can supply a moderately sized XML document with a large DTD and nested entity expansions to consume tens of seconds of CPU per parse.

CVSS 8.7 · Высокий · EPSS 0,5%

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • libexpat

    Версии
    • ≥ 0, ≤ 2.9.0: Затронуто (semver)

    Нет опубликованного исправления

  • expat Debian:12

    Версии
    • 2.5.0-1
    • 2.5.0-1+deb12u1
    • 2.5.0-1+deb12u2
    • 2.5.0-1+deb12u3
    • 2.5.0-1+deb12u4
    • 2.5.0-1+deb12u5
    • 2.5.0-2
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.1-2
    • 2.6.2-1
    • 2.6.2-2
    • 2.6.3-1
    • 2.6.3-2
    • 2.6.4-1
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • expat Debian:13

    Версии
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • expat Debian:14

    Версии
    • 2.7.1-2
    • 2.7.2-1
    • 2.7.3-1
    • 2.7.3-2
    • 2.7.4-1
    • 2.7.5-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-1~deb13u1
    • 2.8.3-1
    • 2.8.3-1~deb13u1
    • 2.8.4-1
    • 2.8.4-2
    • 2.8.5-1
    • 2.8.5-2
    • 2.9.0-1
    • 2.9.0-1~deb13u1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →