CVE-2026-74795
Açıklama
Scriban 6.6.0 öncesi sürümlerinde, özyinelemeli iniş ayrıştırıcısında (recursive-descent parser) denetlenmeyen özyineleme güvenlik açığı bulunmaktadır. Ayrıştırıcı, varsayılan bir ifade derinliği sınırı uygulamaz (ParserOptions içindeki ExpressionDepthLimit özelliği varsayılan olarak null/devre dışıdır); bu nedenle şablon girdisini kontrol eden bir saldırgan, iş parçacığı yığın alanını tüketen ve StackOverflowException oluşturan derin iç içe geçmiş bir şablon (ör. binlerce iç içe parantez veya blok) sağlayabilir. StackOverflowException .NET'te yakalanamadığından, bu durum barındıran sürecin anında ve kurtarılamaz şekilde sonlanmasına yol açarak hizmet reddine neden olur. Güvenilmeyen veya kullanıcı tarafından sağlanan şablonları işleyen uygulamalar, kimlik doğrulama olmaksızın uzaktan istismar edilebilir.
Nasıl düzeltilir
- scriban6.6.0 ya da sonraki bir sürüm
- Scriban.Signed6.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| scribanNuGet | v < 6.6.0 | 6.6.0 |
| Scriban.SignedNuGet | v < 6.6.0 | 6.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.