CVE-2026-74795 in Scriban
要約
〜によって VulDB • 2026年08月16日
Scriban 6.6.0 より前には、再帰下降パーサーにおける制御されない再帰の脆弱性があります。パーサーはデフォルトの式深さ制限（ParserOptions の ExpressionDepthLimit プロパティは null/無効がデフォルト）を強制しないため、テンプレート入力を操作できる攻撃者は、スレッドスタック領域を使い果たし StackOverflowException を引き起こすために、深くネストされたテンプレート（例：数千の入れ子になった括弧やブロックなど）を提供できます。.NET では StackOverflowException はキャッチできないため、これによりホストプロセスが即時かつ回復不能に終了し、サービス拒否 (DoS) が発生します。信頼されないまたはユーザー提供のテンプレートを処理するアプリケーションは、認証なしでリモートから攻撃される可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.