CVE-2026-30952 in liquidjs
要約
〜によって VulDB • 2026年05月09日
liquidjs は、純粋な JavaScript で実装された Shopify および GitHub Pages 互換のテンプレートエンジンです。バージョン 10.25.0 より前では、layout、render、および include タグにより、絶対パス（文字列リテラルとして、または Liquid 変数を通じて。後者の場合は dynamicPartials: true が必要であり、これがデフォルト設定です）を使用して任意のファイルにアクセスすることが可能でした。これは、悪意のあるユーザーがテンプレートコンテンツを制御したり、Liquid 変数として含めるファイルパスを指定したりできる場合に、セキュリティ上のリスクとなります。この脆弱性は 10.25.0 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.