CVE-2026-44644

LiquidJS, saf JavaScript ile yazılmış bir Shopify/GitHub Pages uyumlu şablon motorudur. 10.25.7 ve altı sürümler, strip_html filtresi mantığındaki bir hata nedeniyle XSS'e karşı savunmasızdır. strip_html filtresinin amacı, işleme öncesinde bir dizedeki HTML etiketlerini kaldırmaktır ve yaygın olarak bir XSS temizleyici (sanitizer) olarak kullanılır. Uygulama, genel yakalama dalının (<.*?>) satır sonlandırıcılarla eşleşmediği bir regex kullanmaktadır; bu nedenle \n veya \r karakteri içeren herhangi bir HTML etiketi değiştirilmeden geçer. Bir etiketin içine yeni satır yerleştirebilen bir saldırgan (örneğin <img\nsrc=x\nonerror=alert(1)>), tarayıcılar etiket içindeki yeni satırları boşluk olarak kabul edip sonuçtaki onerror/onload vb. işlemcileri çalıştırdığı için temizleme işlemini tamamen atlatabilir. İstismar, hem HTML enjeksiyonuna karşı korunmak için saldırgan kontrollü dizeleri {{ x | strip_html }} aracılığıyla işleyen hem de bu çıktıyı ayrıca HTML-escape işlemine tabi tutmayan uygulamalar için mümkündür (varsayılan davranış — outputEscape varsayılan olarak ayarlanmamıştır). Bu sorun 10.26.0 sürümünde düzeltilmiştir.