漏洞关键信息 漏洞概述 漏洞名称: RangeError DoS Numeric Entities Bug 漏洞ID: GHSA-37qj-frw5-hhjh CVE ID: CVE-2026-25128 CVSS v3.1: 7.5/10 严重性等级: High 影响的版本与修复 受影响版本: >= 4.3.6, <= 5.3.3 修复版本: 5.3.4 漏洞描述 摘要: 在处理超出范围的数值实体时存在RangeError漏洞，导致解析器抛出未捕获的异常，从而崩溃任何使用此解析器处理不受信任的XML输入的应用程序。 详细信息: 漏洞存在于 的第44-45行代码中， 方法在代码点超出有效Unicode范围时抛出RangeError。正则表达式模式可以捕获远超有效范围的值，导致未捕获的RangeError传播，崩溃解析器和使用它的应用程序。 漏洞利用 Proof of Concept (PoC): - 创建包含 和 的目录。 - 中指定 版本为 。 - 中实现一个HTTP服务器，使用 解析POST请求中的XML payload。 - 使用CURL命令发送恶意XML payload，将导致服务器因RangeError崩溃。 影响 拒绝服务 (DoS): 任何使用 处理不受信任的XML输入的应用程序在遇到畸形数值实体时会崩溃，这影响到: - 接受XML负载的API服务器 - 解析上传的XML文件的文件处理器 - 消费XML消息的消息队列 - RSS/Atom feed解析器 - SOAP/XML-RPC服务 单个恶意请求就足以导致整个Node.js进程崩溃，造成服务中断，需要手动重启。