CVE-2026-74791
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Scriban przed wersją 7.0.0 nie czyści słownika CachedTemplates podczas wywołania TemplateContext.Reset(), co pozwala na utrzymywanie się buforowanych szablonów w ponownie używanych kontekstach. Atakujący mogą wykorzystać zależne od żądania implementacje ITemplateLoader, aby uzyskać dostęp do wcześniej autoryzowanych treści szablonów z wcześniejszych renderowań bez ponownego wywoływania TemplateLoader.Load().
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do treści szablonów, które powinny być niedostępne, co może prowadzić do wycieku informacji.
Rekomendacja
Zaktualizuj Scriban do wersji 7.0.0 lub nowszej, która czyści CachedTemplates przy Reset().
Oryginalny opis (angielski, źródło NVD)
Scriban before 7.0.0 fails to clear the CachedTemplates dictionary when TemplateContext.Reset() is called, allowing cached templates to persist across reused contexts. Attackers can exploit request-dependent ITemplateLoader implementations to access previously authorized template content from earlier renders without triggering TemplateLoader.Load() again.