CVE-2026-30952

إصدارات LiquidJS الأقدم من 10.25.0

تتعرض العلامات layout وrender وinclude لخطر الوصول التعسفي إلى الملفات عبر المسارات المطلقة. قد يحدث ذلك عندما يتم توفير المسارات كسلاسل نصية حرفية أو عبر متغيرات Liquid، لا سيما عند تمكين dynamicPartials: true. وهذا يسمح للمستخدمين الضارين الذين يمكنهم التحكم في محتوى القالب أو تحديد مسارات الملفات داخل متغيرات Liquid بالوصول إلى ملفات حساسة. تتعلق المشكلة باستخدام وحدة fs وتنفيذها الافتراضي، والذي يمكن التحايل عليه للوصول إلى ملفات خارج بنية الدلائل المقصودة. وتعد الدالة fs.fallback عنصرًا رئيسيًّا في هذه المشكلة.

قم بالتحديث إلى الإصدار 10.25.0 أو أحدث من LiquidJS.

كحل مؤقت، قم بتعديل الملف dist/liquid.node.js لتضمين فحوصات إضافية داخل الدالة fs.fallback لضمان أن مسارات الملفات تقع ضمن الدلائل المسموح بها.

استبدل التنفيذ الافتراضي لـ fs بتنفيذ مخصص يقيد الوصول إلى الملفات على المواقع المصرح بها.