CVE-2026-73649 in Velocity.js
Tóm tắt
Bởi VulDB • 13/08/2026
Velocity.js là một triển khai JavaScript của công cụ mẫu Apache Velocity. Trước phiên bản 2.1.7, biện pháp khắc phục trước đó cho CVE-2026-44966 chỉ lọc các thuộc tính constructor, __proto__ và prototype trong trình xử lý lệnh gán #set tại src/compile/set.ts, trong khi các biểu thức đọc thuộc tính (property-read expressions) tại src/compile/references.ts vẫn chưa được lọc. Luồng getReferences() gọi đến hàm getAttributes(), việc truy cập thuộc tính cho phép kẻ tấn công sử dụng mẫu do chính mình kiểm soát để duyệt qua constructor.constructor nhằm đạt tới hàm tạo Function của JavaScript. Trình xử lý #set chỉ xác thực đích lệnh gán mà không xem xét biểu thức đọc thuộc tính ở vế phải, dẫn đến khả năng thực thi các lệnh shell tùy ý, truy cập biến môi trường, truy cập thông tin đăng nhập đám mây và truy cập mạng nội bộ trong tiến trình máy chủ. Vấn đề này đã được khắc phục trong phiên bản 2.1.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.