Към съдържанието
Търсене

CVE-2026-106120: harttle liquidjs, изтичане на данни

6.0

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

LiquidJS is a Shopify / GitHub Pages compatible template engine in pure JavaScript. Prior to 10.27.2, enabling ownPropertyOnly does not consistently restrict inherited array indices because negative indexing, .first, .last, the first filter, the last filter, join, reverse, slice, compact, and for-loop iteration can read prototype-provided elements outside readJSProperty(). An attacker who can influence prototype state or inherited array-index data and cause templates to render affected operations can disclose values that ownPropertyOnly is expected to hide. Direct positive indexing and ordinary object prototype reads are blocked, but the alternate array paths remain affected. This issue is fixed in 10.27.2.

Засегнати продукти

  • harttle liquidjs: < 10.27.2

Вид слабост

История

  • 6 октомври 2026 Публикувано

Други уязвимости в harttle liquidjs

Първоизточници

CVE-2026-106120: harttle liquidjs, изтичане на данни | freedomonline.bg