PT-2026-73162
CVE-2026-74795
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Scriban الأقدم من 6.6.0
الوصف
يفشل محلل النزول التكراري في فرض حد عمق التعبير الافتراضي لأن الخاصية
ExpressionDepthLimit في ParserOptions معطلة افتراضيًا. يمكن للمهاجم الذي يقدم مدخلات قالب تحتوي على كتل أو أقواس متداخلة بعمق أن يستنفد مساحة مكدس مؤشر الترابط، مما يؤدي إلى حدوث استثناء StackOverflowException. في بيئة .NET، لا يمكن التقاط هذا الاستثناء، مما يؤدي إلى إنهاء فوري وغير قابل للاستعادة لعملية الاستضافة وينتج عنه رفض الخدمة. يمكن استغلال هذه المشكلة عن بُعد وبدون مصادقة في التطبيقات التي تعالج قوالب غير موثوق بها أو مقدمة من المستخدم.التوصيات
قم بالتحديث إلى الإصدار 6.6.0 أو أحدث.
كإجراء تخفيفي مؤقت، قم يدويًّا بتكوين الخاصية
ExpressionDepthLimit في ParserOptions على قيمة آمنة لتقييد عمق تداخل القوالب. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾