Scribanに未検証の組み込み関数で、テンプレートを細工されるとサービス停止になる脆弱性
概要
Scribanの7.5.3より前の版には、細工したテンプレートでメモリとCPUを使い尽くされ、サービスが停止する脆弱性があります。信頼できない利用者がテンプレートを投稿できる複数テナントのシステムでは、影響が大きくなるおそれがあります。修正版の7.5.3に更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Scribanの7.5.3より前の版には、細工したテンプレートでメモリとCPUを使い尽くされ、サービスが停止する脆弱性があります。信頼できない利用者がテンプレートを投稿できる複数テナントのシステムでは、影響が大きくなるおそれがあります。修正版の7.5.3に更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| scribanscriban |
7.5.3 未満→ 7.5.3 |
7.5.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Scriban before 7.5.3 contains a resource exhaustion vulnerability that allows untrusted template authors to exhaust memory and CPU because builtins like math.format, regex.replace and string.escape skip the LimitToString allocation guard. Attackers can submit small templates using huge format precision specifiers, shared-structure array comparison, BigInteger multiplication or exponential function recursion that ignore LoopLimit and CancellationToken, crashing or stalling multi-tenant hosts.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com