CVE-2026-61556 in LiquidJS
Riassunto
di VulDB • 20/08/2026
LiquidJS è un motore di modelli compatibile con Shopify / GitHub Pages scritto interamente in JavaScript. Dalla versione 10.26.0 alla 10.27.1, il filtro strip_html in src/filters/html.ts può andare incontro a un loop infinito quando una stringa di input contiene <, include almeno un carattere precedente e non ha alcun > successivo. In strip_html, la ricerca del prossimo apertura avanza lt mentre l'indice del ciclo rimane invariato quando la ricerca della chiusura restituisce -1, e il meccanismo di protezione contro i stalli basato solo sull'uguaglianza non termina perché l'indice del ciclo è inferiore a lt. La rielaborazione indefinita dello stesso stato blocca il rendering dei modelli e può causare un denial of service con un input lungo anche solo come "a<". Questo problema è risolto nella versione 10.27.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.