CVE-2026-61556 in LiquidJS
요약
\~에 의해 VulDB • 2026. 08. 20.
LiquidJS는 순수 JavaScript로 작성된 Shopify 및 GitHub Pages 호환 템플릿 엔진입니다. 버전 10.26.0부터 10.27.1까지, src/filters/html.ts의 strip_html 필터는 입력 문자열에 '<'가 포함되어 있고 최소 하나의 선행 문자를 가지며 이후 '>'가 없는 경우 무한 루프에 진입할 수 있습니다. strip_html 함수 내에서 다음 오프너(opeaner) 검색 시 lt 변수가 증가하는 반면, 클로저(closer) 검색이 -1을 반환하면 루프 인덱스는 변경되지 않으며, 등호만 확인하는 스톨 가드(stall guard)는 루프 인덱스가 lt보다 작기 때문에 종료되지 않습니다. 동일한 상태를 무한정 재처리함으로써 템플릿 렌더링이 차단되며, 'a<'와 같이 매우 짧은 입력으로도 서비스 거부(Denial of Service)를 유발할 수 있습니다. 이 문제는 버전 10.27.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.