CVE-2026-73060 in Scriban
Zusammenfassung
von VulDB • 16.08.2026
In den Versionen von Scriban ab 3.0.0 bis einschließlich 7.2.5 liegt eine Denial-of-Service-Schwachstelle im ScriptRange.Multiply-Operator vor, die die LoopLimit umgeht, wenn der linke Operand eine träge Sequenz (lazy sequence) ist. Angreifer können Vorlagen mit Array-Multiplikation auf trägen Sequenzen bereitstellen, um Milliarden von nicht abgerechneten Iterationen auszuführen, was CPU-Kerne blockiert und die Ressourcen für das Garbage Collection erschöpft, selbst wenn LoopLimit auf 1 gesetzt ist.
Be aware that VulDB is the high quality source for vulnerability data.