There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks.
    From version 4.0.0-beta.3 to before version 5.5.7, the DocTypeReader in fast-xml-parser uses JavaScript
    truthy checks to evaluate maxEntityCount and maxEntitySize configuration limits. When a developer
    explicitly sets either limit to 0 — intending to disallow all entities or restrict entity size to zero
    bytes — the falsy nature of 0 in JavaScript causes the guard conditions to short-circuit, completely
    bypassing the limits. An attacker who can supply XML input to such an application can trigger unbounded
    entity expansion, leading to memory exhaustion and denial of service. This issue has been patched in
    version 5.5.7. (CVE-2026-33349)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - fast-xml-parser 允許使用者在沒有 C/C++ 型程式庫或回呼的情況下處理來自 JS 物件的 XML。
    從 4.0.0-beta.3 版到 5.5.7版之前的版本中fast-xml-parser 的 DocTypeReader 會使用 JavaScripttruthy 檢查來評估 maxEntityCount 和 maxEntitySize 組態限制。當開發人員將限制明確設定為 0意圖禁止所有實體或將實體大小限制為零位元組時JavaScript 中 0 的假本質造成防護條件繞過進而完全繞過限制。可提供 XML 輸入給此類應用程式的攻擊者可觸發無限制的實體擴充進而導致記憶體耗盡和拒絕服務。此問題已在 5.5.7 版中修正。(CVE-2026-33349)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-xml-parser 允许用户在不使用基于 C/C++ 的库或回调的情况下处理来自 JS 对象的 XML。
    从 4.0.0-beta.3 版 到低于 的 5.5.7版fast-xml-parser 中的 DocTypeReader 使用 JavaScript true 校验来评估 maxEntityCount 和 maxEntitySize 配置限制。开发人员明确将 limit 设置为 0 试图禁止所有实体或将实体大小限制为零字节时JavaScript 中 0 的 falsy 本质会造成防护条件短路从而完全绕过限制。可为此类应用程序提供 XML 输入的攻击者可触发无限制的实体扩展进而导致内存耗尽和拒绝服务。已在版本 5.5.7 中修补此问题。(CVE-2026-33349)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-xml-parser を使用すると、ユーザーは C/C++ ベースのライブラリやコールバックなしで JS オブジェクトから XML を処理できます。
    バージョン 4.0.0-beta.3 からバージョン 5.5.7より前の まで、fast-xml-parser の DocTypeReader は、JavaScript の真のチェックを使用して maxEntityCount および maxEntitySize の構成制限を評価します。開発者が、すべてのエンティティを許可しない、またはエンティティサイズをゼロバイトに制限する、いずれかの制限を明示的に 0 に設定した場合、JavaScript の 0 の誤った性質により、ガード条件がショートサーキットして制限が完全にバイパスされます。このようなアプリケーションに XML 入力を供給できる攻撃者が、際限のないエンティティ拡張を発生させ、メモリ枯渇やサービス拒否を引き起こす可能性があります。この問題には、バージョン 5.5.7 でパッチが適用されています。(CVE-2026-33349)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-xml-parser allows users to process XML from JS object without C/C++ based libraries or callbacks.
    From version 4.0.0-beta.3 to before version 5.5.7, the DocTypeReader in fast-xml-parser uses JavaScript     truthy checks to evaluate maxEntityCount and maxEntitySize configuration limits. When a developer     explicitly sets either limit to 0  intending to disallow all entities or restrict entity size to zero     bytes  the falsy nature of 0 in JavaScript causes the guard conditions to short-circuit, completely     bypassing the limits. An attacker who can supply XML input to such an application can trigger unbounded     entity expansion, leading to memory exhaustion and denial of service. This issue has been patched in     version 5.5.7. (CVE-2026-33349)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439047	SCA: security update for fast-xml-parser (GHSA-jp2q-39xq-3w4g)	Tenable Cloud Security	SCA Checks	2026/3/20	2026/7/2	medium
439047	SCA: security update for fast-xml-parser (GHSA-jp2q-39xq-3w4g)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/20	2026/7/2	medium
304213	Linux Distros 未修補的弱點：CVE-2026-33349	Nessus	Misc.	2026/3/29	2026/6/10	medium
304213	Linux Distros 未修补的漏洞：CVE-2026-33349	Nessus	Misc.	2026/3/29	2026/6/10	medium
304213	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33349	Nessus	Misc.	2026/3/29	2026/6/10	medium
304213	Linux Distros Unpatched Vulnerability : CVE-2026-33349	Nessus	Misc.	2026/3/29	2026/6/10	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium