CVE-2026-73649 in Velocity.js
Сводка
по VulDB • 13.08.2026
Velocity.js — это реализация на JavaScript движка шаблонов Apache Velocity. До версии 2.1.7 предыдущее исправление для CVE-2026-44966 фильтровало конструктор, __proto__ и prototype только в обработчике присваивания #set в файле src/compile/set.ts, тогда как выражения чтения свойств (property-read expressions) в файле src/compile/references.ts оставались без фильтрации. Поток getReferences() вызывал функцию getAttributes(), доступ к свойствам которой позволял атакующему с помощью контролируемого им шаблона пройти по цепочке constructor.constructor до конструктора Function языка JavaScript. Обработчик #set проверял только целевой объект присваивания и не анализировал выражение чтения свойств в правой части, что позволяло выполнять произвольные команды оболочки (shell), получать доступ к переменным окружения, учетным данным облачных сервисов и внутренним сетям на стороне серверного процесса. Эта проблема исправлена в версии 2.1.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.