FICHE CVE

CVE-2026-44664

Publiée le 2026-05-13 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `fast-xml-builder` pour convertir du JSON en XML sont vulnérables aux injections XML. Un attaquant non authentifié peut injecter du contenu XML ou HTML arbitraire en fournissant une entrée spécifiquement conçue contenant trois tirets ou plus consécutifs. Cela nécessite que l'attaquant convainque un utilisateur d'interagir avec le résultat malveillant, généralement via un navigateur web.

CVSS 3.16.1 MOYENNE

Type de faiblesse

CWE-91

Publiée2026-05-13

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

fast-xml-builder builds XML from JSON. In 1.1.5, the fix for CVE-2026-41650 in fast-xml-parser sanitizes -- sequences in XML comment content using .replace(/--/g, '- -'). This skip the values containing three consecutive dashes (e.g., --->...), allowing an attacker to break out of an XML comment and inject arbitrary XML/HTML content. This vulnerability is fixed in 1.1.6.