CVE-2026-44644

LiquidJS təmiz JavaScript dilində yazılmış Shopify/GitHub Pages ilə uyğun şablon mühərrikidir. Versiya 10.25.7 və daha aşağı versiyalar strip_html filtrinin məntiqindəki çatışmazlıq səbəbindən XSS hücumlarına qarşı həssasdır. strip_html filtri sətirləri render etməzdən əvvəl onlardan HTML teqlərini silmək üçün nəzərdə tutulub və geniş şəkildə XSS saniteyzatoru kimi istifadə olunur. Implementasiyada istifadə olunan reqex-in bütün halları əhatə edən budağı (<.*?>) sətir sonlandırıcılarını (line terminators) tanımır, buna görə də \n və ya \r simvolu olan hər hansı bir HTML teqi dəyişdirilmədən keçir. Teqin daxilinə yeni sətir yerləşdirə bilən hücumçu (məsələn, <img\nsrc=x\nonerror=alert(1)>), brauzerlərin teq daxilindəki yeni sətirləri boşluq kimi qəbul etməsi və nəticədə onerror/onload və s. handler-lərini icra etməsi səbəbindən saniteziyadan tamamilə yan keçə bilir. Eksploytasiya, həm HTML inyeksiyasından qorunmaq üçün hücumçunun idarə etdiyi sətirləri {{ x | strip_html }} vasitəsilə render edən, həm də bu çıxışı ayrıca HTML-escape etməyən tətbiqlər üçün mümkündür (defolt davranış — outputEscape defolt olaraq təyin edilməmişdir). Bu problem 10.26.0 versiyasında düzəldilmişdir.