CVE-2026-39412 in liquidjs
الملخص
بحسب VulDB • 19/06/2026
LiquidJS هو محرك قوالب متوافق مع Shopify وGitHub Pages، مكتوب بالكامل بلغة JavaScript. قبل الإصدار 10.25.4، يتجاوز مرشح sort_natural خيار الأمان ownPropertyOnly، مما يسمح لمؤلفي القوالب باستخراج قيم الخصائص الموروثة من النموذج الأولي (prototype-inherited properties) عبر هجوم قناة جانبية تعتمد على عملية الفرز. تتعرض التطبيقات التي تعتمد على تعيين ownPropertyOnly: true كحد أمني (مثل أنظمة القوالب متعددة المستأجرين) لخطر كشف معلومات حساسة تتعلق بخصائص النموذج الأولي، مثل مفاتيح واجهة برمجة التطبيقات (API keys) والرموز المميزة (tokens). تم إصلاح هذا الثغرة الأمنية في الإصدار 10.25.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.