CVE-2026-73062
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Scriban w wersjach od 3.0.0 do 7.2.0 zawiera podatność na odmowę usługi w operatorze mnożenia tablic, który przydziela pamięć bez egzekwowania LoopLimit lub bezpiecznych arytmetycznie kontroli przepełnienia. Atakujący mogą podać duży mnożnik całkowity w szablonie, aby wymusić alokacje pamięci rzędu wielu gigabajtów, powodując wyczerpanie zasobów i degradację dostępności.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania pamięci i spowolnienia lub awarii aplikacji, co wpływa na dostępność usługi.
Rekomendacja
Zaktualizuj Scriban do wersji 7.2.1 lub nowszej, która egzekwuje limity alokacji pamięci w operatorze mnożenia tablic.
Oryginalny opis (angielski, źródło NVD)
Scriban versions 3.0.0 through 7.2.0 contain a denial of service vulnerability in the array multiplication operator that allocates memory without enforcing LoopLimit or overflow-safe arithmetic checks. Attackers can supply a large integer multiplier in a template to force multi-gigabyte memory allocations, causing resource exhaustion and availability degradation.