CVE-2026-44664mediumCWE-91

CVE-2026-44664: falha de média gravidade em NaturalIntelligence fast-xml-builder

fast-xml-builder: Comment Value bypass regex

Publicada em

Seguir esta CVE+ Monitorar fast-xml-builder+ Monitorar fast-xml-builder

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.1epss 0.2%
fast-xml-builder builds XML from JSON. In 1.1.5, the fix for CVE-2026-41650 in fast-xml-parser sanitizes -- sequences in XML comment content using .replace(/--/g, '- -'). This skip the values containing three consecutive dashes (e.g., --->...), allowing an attacker to break out of an XML comment and inject arbitrary XML/HTML content. This vulnerability is fixed in 1.1.6.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Produtos afetados
NaturalIntelligence · fast-xml-builder
CVEs relacionadas — NaturalIntelligence fast-xml-builder

No mesmo produto, das mais perigosas para as menos.

CVE-2026-44665MEDIUMfast-xml-builder: Attribute values with unwanted quotes can bypass malicious or unwanted attributesEPSS 0.2%