CVE-2026-73649
Açıklama
Velocity.js, Apache Velocity şablon motorunun bir JavaScript uygulamasıdır. 2.1.7 sürümünden önce, CVE-2026-44966 için getirilen önceki düzeltme; constructor, __proto__ ve prototype ifadelerini yalnızca src/compile/set.ts içindeki #set atama işleyicisinde filtrelemiş, ancak src/compile/references.ts içindeki özellik okuma (property-read) ifadeleri filtresiz kalmıştır. getReferences() akışı, özellik erişimi saldırgan tarafından kontrol edilen bir şablonun constructor.constructor üzerinden JavaScript Function oluşturucusuna ulaşmasına izin veren getAttributes() fonksiyonunu çağırmıştır. #set işleyicisi yalnızca atama hedefini doğrulamış ve sağ taraftaki özellik okuma ifadesini denetlememiştir; bu durum sunucu işleminde rastgele kabuk komutlarının çalıştırılmasına, ortam değişkenlerine erişime, bulut kimlik bilgilerine erişime ve dahili ağ erişimine olanak tanımıştır. Bu sorun 2.1.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- velocityjs2.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| velocityjsnpm | v < 2.1.7 | 2.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.