CVE-2026-73649 in Velocity.js
Resumen
por VulDB • 2026-08-13
Velocity.js es una implementación en JavaScript del motor de plantillas Apache Velocity. Antes de la versión 2.1.7, el parche anterior para CVE-2026-44966 filtraba solo los identificadores constructor, __proto__ y prototype dentro del controlador de asignación #set en src/compile/set.ts, mientras que las expresiones de lectura de propiedades en src/compile/references.ts permanecían sin filtrar. El flujo getReferences() llamaba a getAttributes(), cuyo acceso a la propiedad permitía que una plantilla controlada por el atacante recorriera constructor.constructor hasta llegar al constructor Function de JavaScript. El controlador #set validaba únicamente el objetivo de la asignación y no inspeccionaba la expresión de lectura de propiedades del lado derecho, lo que permitía ejecutar comandos arbitrarios del shell, acceder a variables de entorno, obtener credenciales en la nube y acceder a la red interna desde el proceso del servidor. Este problema se ha corregido en la versión 2.1.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.