Scribanの脆弱性、テンプレートで処理が停止しプロセスが終了するおそれ
Summary
Scriban（Scriban.Signedを含む）の7.5.3より前のバージョンに、再帰処理の制限が正しく働かない脆弱性が見つかりました。細工したテンプレートを読み込ませると、捕捉できないStackOverflowExceptionが発生し、ホストのプロセスが終了するおそれがあります。修正版の7.5.3に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Scriban（Scriban.Signedを含む）の7.5.3より前のバージョンに、再帰処理の制限が正しく働かない脆弱性が見つかりました。細工したテンプレートを読み込ませると、捕捉できないStackOverflowExceptionが発生し、ホストのプロセスが終了するおそれがあります。修正版の7.5.3に更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| scribanscriban |
< 7.5.3→ 7.5.3 |
7.5.3 |
Original description The description as published by the source.
Scriban and Scriban.Signed before 7.5.3 contain uncontrolled recursion flaws in which postfix member, indexer, and call chains bypass ExpressionDepthLimit, array comparison lacks depth and cycle checks, and object.eval bypasses RecursiveLimit. Attackers who can supply templates can trigger an uncatchable StackOverflowException that terminates the host process.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com