Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-xml-parser 允许用户在不使用基于 C/C++ 的库或回调的情况下处理来自 JS 对象的 XML。
    从 4.0.0-beta.3 版 到低于 的 5.5.7版fast-xml-parser 中的 DocTypeReader 使用 JavaScript true 校验来评估 maxEntityCount 和 maxEntitySize 配置限制。开发人员明确将 limit 设置为 0 试图禁止所有实体或将实体大小限制为零字节时JavaScript 中 0 的 falsy 本质会造成防护条件短路从而完全绕过限制。可为此类应用程序提供 XML 输入的攻击者可触发无限制的实体扩展进而导致内存耗尽和拒绝服务。已在版本 5.5.7 中修补此问题。(CVE-2026-33349)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-33349

medium Nessus 插件 ID 304213

版本 1.1