CVE-2026-45618
KrytyczneStreszczenie
Podatność w bibliotece Liquid umożliwia wykonanie dowolnego kodu poprzez spreparowane szablony. Problem wynika z możliwości uzyskania dostępu do obiektu `this` za pomocą filtra `valueOf`.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na serwerze, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Liquid do najnowszej wersji, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie możliwości przesyłania niestandardowych szablonów przez niezaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
### Summary It is possible to execute arbitrary code with crafted templates ### Details <details> <summary> `1|valueOf` -> `this` when evaluating the filter </summary> ```liquid {%assign r=1|valueOf%} {{r|inspect}} ``` ```json {"context":{"scopes":[{"r":"[Circular]"}],"registers":{},"breakCa