CVE-2026-73061
KrytyczneCVSS 9.8Streszczenie
Scriban przed wersją 7.2.2 zawiera podatność na obejście modyfikatorów dostępu w TypedObjectAccessor, co pozwala kodowi szablonu na zapis właściwości obiektów CLR bez sprawdzania widoczności setterów. Atakujący mogą modyfikować właściwości z prywatnymi, wewnętrznymi lub init-only setterami oraz przeprowadzać masowe przypisania na właściwościach z publicznymi setterami, trwale zmieniając obiekty hosta po renderowaniu szablonu.
Ocena ryzyka
Ryzyko nieautoryzowanej modyfikacji obiektów aplikacji, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Scriban do wersji 7.2.2 lub nowszej, aby naprawić podatność w TypedObjectAccessor.
Oryginalny opis (angielski, źródło NVD)
Scriban before 7.2.2 contains an access-modifier bypass vulnerability in TypedObjectAccessor that allows template code to write CLR object properties without setter-visibility checks. Attackers can modify properties with private, internal, or init-only setters, and perform mass assignment on public-setter properties, permanently altering live host objects after template rendering.