CVE-2026-73649 in Velocity.js
要約
〜によって VulDB • 2026年08月13日
Velocity.jsは、Apache VelocityテンプレートエンジンのJavaScript実装です。バージョン2.1.7より前では、CVE-2026-44966に対する以前の修正により、src/compile/set.ts内の#set代入ハンドラにおいてconstructor、__proto__、およびprototypeのみがフィルタリングされていましたが、src/compile/references.ts内のプロパティ読み取り式はフィルタリングされませんでした。getReferences()フローはgetAttributes()を呼び出し、そのプロパティアクセスにより攻撃者が制御するテンプレートからJavaScriptのFunctionコンストラクタへconstructor.constructorを経由して到達することが可能でした。#setハンドラは代入先のみを検証し、右辺のプロパティ読み取り式を確認しなかったため、サーバープロセス内で任意のシェルコマンドの実行、環境変数へのアクセス、クラウド資格情報へのアクセス、および内部ネットワークへのアクセスが許可されました。この問題はバージョン2.1.7で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.