roxmltree Quadratic-time XML Parsing DoS: O(n²) Attribute & Namespace Checks (CWE-407/1333)

漏洞概述 标题：Quadratic-time XML parsing DoS: duplicate-attribute & namespace-declaration checks are O(n²) (CWE-407/CWE-1333) 问题： （及 / ）在解析含大量重复属性或命名空间声明的 XML 时呈 O(n²) 运行时，导致单线程 CPU 耗尽型 DoS。 根因： 1. 重复属性检测（ , ）：每个属性与同元素下所有已推送属性做全量比较，比较次数为 n(n-1)/2。 2. 命名空间声明去重（ , / ）： 线性扫描 ， 额外做 （O(n) 移动），单元素大量命名空间时同样 O(n²)。 影响范围： - 受影响版本：自 1.0.0（2022）起未修复，在 0.20.0、0.21.1 中仍存在。 - 影响组件：roxmltree 的 、 、 。 - 影响面：所有消费未受信 XML 的下游（SVG 管线、EPUB 阅读器、xmllint-docx 工具、sitemap 解析器等）。 - 内存占用：100% 安全（无内存增长），纯 CPU 计算型 DoS。 - 缓解措施：roxmltree 无硬上限，无相关 CVE 或公告。 - 报告者：Mo（trickyfalcon），2026-09-11 本地验证。 POC / 复现代码 有效 XML，解析成功（无错误路径触发）： 外推：256k 属性（8.7 MB）≈ 50 s；1M 属性（34 MB）≈ 12 min 单核 CPU。 修复方案（建议） 重复属性：为每个元素维护一个小型 Vec（≤16 项）的半去重集合，再切换到 或排序 Vec + 二分查找（O(n log n) 或 O(n)）。 命名空间：为 使用每元素小型 map；用带双指针或快排的 替代（O(n) 插入）。 深度防御：对每元素属性/命名空间数量设置可配置上限（沿用现有 唯一命名空间上限）。 讨论中的替代方案：硬上限（hard caps）被认为是最合理的缓解措施，因为输入虽技术上有效但不现实，拒绝它们比维护哈希表更简单；roxmltree 当前无硬上限。

目標達成すべての支援者に感謝 — 100%達成しました！

roxmltree Quadratic-time XML Parsing DoS: O(n²) Attribute & Namespace Checks (CWE-407/1333)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

roxmltree Quadratic-time XML Parsing DoS: O(n²) Attribute & Namespace Checks (CWE-407/1333)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！