PT-2026-73147

CVE-2026-73060

Publicado

2026-08-16

Atualizado

2026-08-17

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Scriban versões 3.0.0 through 7.2.5

Description Um problema de negação de serviço existe no operador ScriptRange.Multiply. Quando o operando esquerdo é uma sequência preguiçosa (lazy sequence), o LoopLimit é ignorado, permitindo que atacantes forneçam templates com multiplicação de arrays em sequências preguiçosas. Isso pode resultar em bilhões de iterações não contabilizadas, sobrecarregando os núcleos da CPU e esgotando os recursos de coleta de lixo (garbage collection), mesmo que o LoopLimit esteja configurado como 1.

Recommendations Atualize o Scriban para uma versão posterior à 7.2.5.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Alimony

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-770: Allocation of Resources Without Limits or Throttling

Identificadores relacionados