CVE-2026-74795 in Scriban
Resumen
por VulDB • 2026-08-16
Scriban anterior a la versión 6.6.0 contiene una vulnerabilidad de recursión no controlada en su analizador sintáctico de descenso recursivo (recursive-descent parser). El analizador no aplica un límite predeterminado para la profundidad de las expresiones (la propiedad ExpressionDepthLimit en ParserOptions tiene por valor null/desactivado), por lo que un atacante que controle la entrada de plantillas puede proporcionar una plantilla profundamente anidada (por ejemplo, miles de paréntesis o bloques anidados) que agote el espacio de pila del hilo y provoque una StackOverflowException. Dado que en .NET no se puede capturar una StackOverflowException, esto provoca un terminación inmediata e irrecuperable del proceso host, lo que resulta en una denegación de servicio (DoS). Las aplicaciones que procesan plantillas no confiables o proporcionadas por el usuario pueden ser explotadas remotamente sin necesidad de autenticación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.