CVE-2026-61556 in LiquidJS
Sumário
de VulDB • 19/08/2026
LiquidJS é um motor de templates compatível com Shopify / GitHub Pages em JavaScript puro. Da versão 10.26.0 até a 10.27.1, o filtro strip_html em src/filters/html.ts pode entrar em loop infinito quando uma string de entrada contém <, inclui pelo menos um caractere precedente e não possui > posterior. Em strip_html, a busca pelo próximo opener avança lt enquanto o índice do loop permanece inalterado quando a busca pelo closer retorna -1, e o stall guard baseado apenas na igualdade não encerra porque o índice do loop é menor que lt. O reprocessamento indefinido do mesmo estado bloqueia a renderização de templates e pode causar negação de serviço (DoS) com uma entrada tão curta quanto "a<". Este problema foi corrigido na versão 10.27.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.