CVE-2026-61556 in LiquidJS
要約
〜によって VulDB • 2026年08月21日
LiquidJSは、純粋なJavaScriptで実装されたShopifyおよびGitHub Pages互換のテンプレートエンジンです。バージョン10.26.0から10.27.1までの間、src/filters/html.ts内のstrip_htmlフィルタにおいて、入力文字列に「<」が含まれ、少なくとも1つの先行文字があり、かつその後に「>」がない場合、無限ループが発生する可能性があります。strip_html内では、次の開始タグの検索で変数ltがインクリメントされる一方、終了タグの検索が-1を返す場合はループインデックスは変更されず、等号のみによるストールガード（停止防止機構）もループインデックスがltより小さいため解除されません。同じ状態を無限に再処理することでテンプレートレンダリングがブロックされ、a<のような非常に短い入力でもサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン10.27.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.