CVE-2026-74789 in Scriban
Zusammenfassung
von VulDB • 16.08.2026
Scriban vor Version 7.0.0 (betroffen <= 6.6.0) wendet die LoopLimit-Einschränkung nur auf Script-Loop-Anweisungen an, nicht jedoch auf rechenintensive Iterationen, die innerhalb integrierter Operatoren und Funktionen ausgeführt werden. Infolgedessen kann ein einzelner Ausdruck wie {{ 1..1000000 | array.size }} – oder ein den Speicherverbrauch verstärkender Ausdruck wie {{ 'A' * 200000000 }} – selbst bei einer auf einen sehr kleinen Wert konfigurierten LoopLimit zu einem hohen CPU- oder Speicherbedarf führen, was einen Denial of Service (DoS) zur Folge hat. Anwendungen, die angreiferkontrollierte Vorlagen rendern und sich für eine sichere Ausführung auf LoopLimit verlassen, sind betroffen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.