p PatchFirst

CVE-2026-44664

CVE-2026-44664 · fast-xml-builder: Comment Value bypass regex

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

fast-xml-builder builds XML from JSON. In 1.1.5, the fix for CVE-2026-41650 in fast-xml-parser sanitizes -- sequences in XML comment content using .replace(/--/g, '- -'). This skip the values containing three consecutive dashes (e.g., --->...), allowing an attacker to break out of an XML comment and inject arbitrary XML/HTML content. This vulnerability is fixed in 1.1.6.

CVSS 6.1 · Средний · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • fast-xml-builder

    Версии
    • 1.1.5: Затронуто

    Нет опубликованного исправления

  • fast-xml-builder npm

    Версии
    • 1.1.5
    Затронутые диапазоны версий
    • SEMVER: ≥ 1.1.5, < 1.1.6

    Обновитесь до 1.1.6

Первоисточники

Проверьте свой сервер →