CVE-2026-74794
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Scriban przed wersją 6.6.0 zawiera podatność na nieskończoną rekurencję podczas renderowania obiektów, gdy właściwość ObjectRecursionLimit jest domyślnie nieograniczona. Atakujący mogą dostarczyć obiekty z cyklicznymi referencjami do kontekstu szablonu, wyczerpując stos i wywołując nieprzechwytywalny StackOverflowException, który kończy proces hostujący.
Ocena ryzyka
Ryzyko odmowy usługi w aplikacjach renderujących szablony z niezaufanymi danymi, co może prowadzić do awarii procesu.
Rekomendacja
Zaktualizuj Scriban do wersji 6.6.0 lub nowszej, która domyślnie ogranicza rekurencję obiektów.
Oryginalny opis (angielski, źródło NVD)
Scriban before 6.6.0 contains an infinite recursion vulnerability in object rendering when the ObjectRecursionLimit property defaults to unlimited. Attackers can supply circular reference objects to the template context, exhausting stack space and triggering an uncatchable StackOverflowException that terminates the hosting process.