Scribanの脆弱性、内部情報を読み書きされる恐れ。修正版あり
Summary
外部の人が書いたテンプレートをScribanで描画しているアプリでは、ホスト側の設定値や秘密情報が読み書きされる恐れがあります。7.5.2へ更新し、テンプレートを誰が書けるかも見直してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
外部の人が書いたテンプレートをScribanで描画しているアプリでは、ホスト側の設定値や秘密情報が読み書きされる恐れがあります。7.5.2へ更新し、テンプレートを誰が書けるかも見直してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| scribanscriban |
< 7.5.2→ 7.5.2 |
7.5.2 |
Original description The description as published by the source.
Scriban before 7.5.2 contains an information disclosure and object manipulation vulnerability that allows template authors to access .NET internals of function values through reflection member accessors. Attackers can use array.map to read Target, Method, or ReturnType on imported delegates, exposing and overwriting service properties, captured closure secrets, and assembly paths.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com