Scribanの脆弱性、テンプレートで処理が停止しプロセスが終了するおそれ
概要
Scriban（Scriban.Signedを含む）の7.5.3より前のバージョンに、再帰処理の制限が正しく働かない脆弱性が見つかりました。細工したテンプレートを読み込ませると、捕捉できないStackOverflowExceptionが発生し、ホストのプロセスが終了するおそれがあります。修正版の7.5.3に更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Scriban（Scriban.Signedを含む）の7.5.3より前のバージョンに、再帰処理の制限が正しく働かない脆弱性が見つかりました。細工したテンプレートを読み込ませると、捕捉できないStackOverflowExceptionが発生し、ホストのプロセスが終了するおそれがあります。修正版の7.5.3に更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| scribanscriban |
7.5.3 未満→ 7.5.3 |
7.5.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Scriban and Scriban.Signed before 7.5.3 contain uncontrolled recursion flaws in which postfix member, indexer, and call chains bypass ExpressionDepthLimit, array comparison lacks depth and cycle checks, and object.eval bypasses RecursiveLimit. Attackers who can supply templates can trigger an uncatchable StackOverflowException that terminates the host process.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com