Liquidjs — это шаблонизатор, совместимый с Shopify/GitHub Pages, на чистом JavaScript. До версии 10.25.0 теги макета, рендеринга и включения разрешали произвольный доступ к файлам по абсолютным путям (либо в виде строковых литералов, либо через переменные Liquid, для последних требуется значение DynamicPartials: true, которое используется по умолчанию). Это создает угрозу безопасности, когда злоумышленникам разрешено управлять содержимым шаблона или указывать путь к файлу, который будет включен в качестве переменной Liquid.
Эта уязвимость исправлена в версии 10.25.0.
Показать оригинальное описание (EN)
liquidjs is a Shopify / GitHub Pages compatible template engine in pure JavaScript. Prior to 10.25.0, the layout, render, and include tags allow arbitrary file access via absolute paths (either as string literals or through Liquid variables, the latter require dynamicPartials: true, which is the default). This poses a security risk when malicious users are allowed to control the template content or specify the filepath to be included as a Liquid variable. This vulnerability is fixed in 10.25.0.
Характеристики атаки
Последствия
Строка CVSS v4.0