CVE-2026-74785
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Scriban przed wersją 7.0.0 zawiera trzy odrębne podatności na odmowę usługi w ocenie wyrażeń, które omijają istniejące zabezpieczenia poprzez nieograniczone mnożenie ciągów, niekontrolowane operacje przesunięcia BigInteger oraz ominięcie LoopLimit przez wyliczanie zakresów w funkcjach wbudowanych. Atakujący, którzy mogą dostarczać szablony, mogą powodować wyjątki braku pamięci lub wyczerpanie procesora, zwykle kończąc cały proces hosta.
Ocena ryzyka
Atakujący może spowodować awarię aplikacji lub wyczerpanie zasobów, co prowadzi do przerwania działania usługi i potencjalnej utraty dostępności.
Rekomendacja
Zaktualizuj Scriban do wersji 7.0.0 lub nowszej, która zawiera poprawki dla wszystkich trzech podatności.
Oryginalny opis (angielski, źródło NVD)
Scriban before 7.0.0 contains three distinct denial-of-service vulnerabilities in expression evaluation that bypass existing safety controls through unbounded string multiplication, uncontrolled BigInteger shift operations, and LoopLimit bypass via range enumeration in builtin functions. Attackers who can supply templates can cause out-of-memory exceptions or CPU exhaustion, typically terminating the entire host process.