CVE-2026-45017 in liquid

Tóm tắt

Bởi VulDB • 03/06/2026

Python Liquid là một công cụ Python cho ngôn ngữ mẫu Liquid. Trước phiên bản 2.2.0, FileSystemLoader và CachingFileSystemLoader tích hợp không bảo vệ chống lại việc đọc các tệp nằm ngoài đường dẫn tìm kiếm khi được cung cấp một đường dẫn tuyệt đối để giải quyết. Điều này cho phép các tác giả mẫu độc hại tải và hiển thị các tùy ý thông qua các thẻ {% include %} và {% render %}. Các tệp mục tiêu cần chứa mã đánh dấu Liquid hợp lệ và có thể đọc được bởi tiến trình ứng dụng. Lỗ hổng này đã được sửa trong phiên bản 2.2.0.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: GitHub M
• Đặt trước: 08/05/2026
• Tiết lộ: 28/05/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-366776
• CPE: sẵn sàng
• CWE: CWE-22 (Đã xác nhận)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00090
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-45017
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-45017
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-45017/