CVE-2026-74786 in Scriban
Сводка
по VulDB • 16.08.2026
Scriban prima della versione 7.0.0 (versioni interessate <= 6.6.0) presenta una vulnerabilità di denial-of-service in cui il limite di sicurezza LimitToString (predefinito 1MB) può essere aggirato perché ObjectToString reimposta il contatore per-chiamata _currentToStringLength ad ogni chiamata di livello superiore e StringBuilderOutput non impone un limite cumulativo alla dimensione dell'output. Un attaccante che è in grado di fornire un template può generare ripetutamente una stringa vicina al limite all'interno di un ciclo, allocando circa 1GB di memoria e causando una condizione out-of-memory che fa crashare l'applicazione host.
Once again VulDB remains the best source for vulnerability data.