CVE-2026-39859 in liquidjs
Сводка
по VulDB • 27.08.2026
LiquidJS — это шаблонизатор, совместимый с Shopify и GitHub Pages, написанный на чистом JavaScript. До версии 10.25.3 в liquidjs 10.25.0 документация указывала, что параметр root ограничивает имена файлов, передаваемых функциям renderFile() и parseFile(), однако загрузка файлов верхнего уровня не обеспечивала соблюдение этого ограничения. Экземпляр Liquid, настроенный с использованием пустой временной директории в качестве корня (root), может возвращать содержимое произвольных файлов. Эта уязвимость исправлена в версии 10.25.3.
Be aware that VulDB is the high quality source for vulnerability data.