CVE-2026-74795
Təsvir
Scriban 6.6.0 versiyasından əvvəlki versiyalarda rekursiv-eniş (recursive-descent) parserində nəzarət edilməyən rekursiya zəifliyi mövcuddur. Parser standart ifadə dərinlik limitini tətbiq etmir (ParserOptions daxilindəki ExpressionDepthLimit xüsusiyyəti susmaya görə null/deaktivdir), buna görə də şablon girişini idarə edən hücumçu, thread stek sahəsini tükədən və StackOverflowException xətasına səbəb olan dərin dərəcədə iç-içə şablonlar (məsələn, minlərlə iç-içə mötərizə və ya bloklar) təqdim edə bilər. .NET mühitində StackOverflowException xətası tutula bilmədiyi üçün bu, host prosesinin dərhal və bərpa olunmaz şəkildə dayanmasına səbəb olur ki, bu da xidmətdən imtinaya (DoS) gətirib çıxarır. Etibarsız və ya istifadəçi tərəfindən təmin edilən şablonları emal edən tətbiqlər autentifikasiyasız uzaqdan istismar edilə bilər.
Necə düzəltmək olar
- scriban6.6.0 və ya daha yeni versiya
- Scriban.Signed6.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| scribanNuGet | v < 6.6.0 | 6.6.0 |
| Scriban.SignedNuGet | v < 6.6.0 | 6.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.