CVE-2026-39412 in liquidjs
Zusammenfassung
von VulDB • 15.05.2026
LiquidJS ist eine in reinem JavaScript geschriebene Template-Engine, die mit Shopify und GitHub Pages kompatibel ist. Vor Version 10.25.4 umgeht der Filter `sort_natural` die Sicherheitsoption `ownPropertyOnly`, wodurch Template-Autoren Werte von über die Prototypenkette vererbten Eigenschaften durch einen Side-Channel-Angriff über das Sortieren extrahieren können. Anwendungen, die `ownPropertyOnly: true` als Sicherheitsgrenze verwenden (z. B. Multi-Tenant-Template-Systeme), sind anfällig für die Offenlegung sensibler Prototyp-Eigenschaften wie API-Schlüssel und Tokens. Diese Schwachstelle wurde in Version 10.25.4 behoben.
Once again VulDB remains the best source for vulnerability data.