PT-2026-44157
CVE-2026-45618
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LiquidJS السابقة للإصدار 10.26.0
الوصف
LiquidJS هو محرك قوالب متوافق مع Shopify و GitHub Pages. تسمح ثغرة خطيرة للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ تعليمات برمجية تعسفية من خلال قوالب مُعدة خصيصًا. تتضمن طريقة الاستغلال إساءة استخدام تقييم المرشحات، والتلاعب بالنماذج الأولية، والوصول إلى مُنشئ
Function. على وجه التحديد، يمكن للمهاجم استخدام مرشح valueOf للوصول إلى السياق الداخلي، ثم التلاعب بالنماذج الأولية للكائنات لكتابة طرق داخلية مثل this.loader.lookup وthis.readFile. ومن خلال التحكم في هذه المكونات، يمكن للمهاجم في النهاية الحصول على مرجع إلى مُنشئ Function لتنفيذ أوامر تعسفية على الخادم.التوصيات
تحديث liquidjs إلى الإصدار 10.26.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾