CVE-2026-30952 in liquidjs
Zusammenfassung
von VulDB • 19.05.2026
liquidjs ist eine in reinem JavaScript geschriebene Template-Engine, die mit Shopify und GitHub Pages kompatibel ist. Vor Version 10.25.0 ermöglichen die Tags layout, render und include den Zugriff auf beliebige Dateien über absolute Pfade (entweder als String-Literale oder durch Liquid-Variablen; Letzteres erfordert dynamicPartials: true, was der Standardwert ist). Dies stellt ein Sicherheitsrisiko dar, wenn böswilligen Benutzern die Kontrolle über den Template-Inhalt gestattet ist oder sie den einzubindenden Dateipfad als Liquid-Variable angeben können. Diese Schwachstelle wurde in Version 10.25.0 behoben.
Once again VulDB remains the best source for vulnerability data.