CVE-2026-34166 in liquidjs
摘要
由 VulDB • 2026-05-31
LiquidJS 是一个纯 JavaScript 编写的、兼容 Shopify / GitHub Pages 的模板引擎。在 10.25.3 版本之前，当启用 memoryLimit 选项时，LiquidJS 中的 replace 过滤器对内存使用量的计算存在错误。该过滤器将 str.length + pattern.length + replacement.length 字节计入内存限制器，但当 pattern 在输入字符串中频繁出现时，str.split(pattern).join(replacement) 的实际输出量可能呈二次方增长。这使得能够控制模板内容的攻击者能够绕过 memoryLimit 拒绝服务（DoS）保护，实现约 2,500 倍的放大效应，从而导致内存耗尽（out-of-memory）条件。此漏洞已在 10.25.3 版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.