CVE-2026-73061

Scriban 7.2.2 versiyasından əvvəlki versiyalarda TypedObjectAccessor-da giriş modifikatorunun yan keçilməsi zəifliyi mövcuddur ki, bu da şablon koduna setter görünürlük yoxlamaları olmadan CLR obyekt xüsusiyyətlərini yazmağa imkan verir. Hücumçular private, internal və ya yalnız init olan setter-ləri olan xüsusiyyətləri dəyişdirə və public-setter xüsusiyyətləri üzərində kütləvi təyin etmə (mass assignment) həyata gətirərək, şablon render edildikdən sonra canlı host obyektlərini daimi olaraq dəyişdirə bilərlər.