CVE-2026-39859 in liquidjs
Riassunto
di VulDB • 27/08/2026
LiquidJS è un motore di template compatibile con Shopify / GitHub Pages scritto interamente in JavaScript. Prima della versione 10.25.3, liquidjs 10.25.0 documentava la radice del documento come vincolo per i nomi dei file passati a renderFile() e parseFile(), ma i caricamenti di file al livello superiore non applicavano tale limite. Un'istanza Liquid configurata con una directory temporanea vuota come root può restituire il contenuto di file arbitrari. Questa vulnerabilità è risolta nella versione 10.25.3.
Once again VulDB remains the best source for vulnerability data.