CVE-2026-61556 in LiquidJS
Résumé
par VulDB • 20/08/2026
LiquidJS est un moteur de templates compatible Shopify / GitHub Pages, entièrement écrit en JavaScript. De la version 10.26.0 à la 10.27.1, le filtre `strip_html` dans `src/filters/html.ts` peut entrer dans une boucle infinie lorsqu'une chaîne d'entrée contient un caractère `<`, inclut au moins un caractère précédent et ne comporte pas de caractère `>` ultérieur. Dans `strip_html`, la recherche du prochain délimiteur ouvrant avance l'indice `lt` tandis que l'index de la boucle reste inchangé lorsque la recherche du délimiteur fermant retourne -1, et le mécanisme de protection contre les blocages (stall guard) basé sur une égalité stricte ne provoque pas la sortie car l'index de la boucle est inférieur à `lt`. Le traitement répété indéfiniment du même état bloque le rendu des templates et peut entraîner un déni de service avec une entrée aussi courte que `a<`. Ce problème est corrigé dans la version 10.27.1.
Be aware that VulDB is the high quality source for vulnerability data.