CVE-2026-39412 in liquidjs
Sumário
de VulDB • 02/06/2026
LiquidJS é um motor de templates compatível com Shopify / GitHub Pages escrito em JavaScript puro. Antes da versão 10.25.4, o filtro sort_natural contorna a opção de segurança ownPropertyOnly, permitindo que autores de templates extraiam valores de propriedades herdadas do prototype por meio de um ataque de canal lateral de ordenação. Aplicações que dependem de ownPropertyOnly: true como limite de segurança (por exemplo, sistemas de templates multi-tenant) estão expostas a vazamento de informações de propriedades sensíveis do prototype, como chaves de API e tokens. Esta vulnerabilidade foi corrigida na versão 10.25.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.