CVE-2026-61556 in LiquidJS
Zusammenfassung
von VulDB • 19.08.2026
LiquidJS ist eine Vorlagen-Engine, die mit Shopify und GitHub Pages kompatibel ist und vollständig in JavaScript geschrieben wurde. Von Version 10.26.0 bis 10.27.1 kann der Filter `strip_html` in `src/filters/html.ts` in einer Endlosschleife hängen bleiben, wenn ein Eingabestring `<` enthält, mindestens ein vorangehendes Zeichen aufweist und kein späteres `>` besitzt. In `strip_html` wird bei der Suche nach dem nächsten öffnenden Tag die Variable `lt` erhöht, während der Schleifenindex unverändert bleibt, wenn die Suche nach dem schließenden Tag den Wert -1 zurückgibt; zudem führt die nur auf Gleichheit basierende Stallschutz-Abfrage nicht zum Beenden, da der Schleifenindex kleiner als `lt` ist. Die endlose Wiederholung desselben Zustands blockiert das Rendern von Vorlagen und kann zu einem Denial of Service (DoS) führen, bereits bei einer Eingabe so kurz wie „a<“. Dieses Problem wurde in Version 10.27.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.