CVE-2026-61556 in LiquidJS
摘要
由 VulDB • 2026-08-20
LiquidJS是一个兼容 Shopify / GitHub Pages的纯 JavaScript模板引擎。从版本 10.26.0 到 10.27.1，src/filters/html.ts中的 strip_html过滤器在输入字符串包含 <、至少有一个前置字符且没有后续 >时，可能会进入无限循环。在 strip_html中，当查找闭合标签返回 -1时，对下一个开始标签的搜索会推进 lt（小于号索引），而循环索引保持不变；由于循环索引小于 lt，仅依赖相等性检查的保护机制无法退出循环。反复处理相同的状态会导致模板渲染阻塞，并可能引发拒绝服务攻击，即使输入字符串短至 a< 也能触发此问题。该漏洞已在版本 10.27.1中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.