CVE-2026-74784
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Scriban przed wersją 7.2.0 zawiera podatność na odmowę usługi w funkcji array.insert_at, która przydziela nieograniczone wpisy null bez przestrzegania ograniczeń LoopLimit lub LimitToString. Atakujący mogą podać duży parametr indeksu, aby wywołać wyjątek OutOfMemoryException i doprowadzić do awarii procesu w mniej niż sekundę.
Ocena ryzyka
Atakujący może szybko wyczerpać pamięć i spowodować awarię aplikacji, co prowadzi do przerwania działania usługi.
Rekomendacja
Zaktualizuj Scriban do wersji 7.2.0 lub nowszej, która ogranicza alokację pamięci w funkcji array.insert_at.
Oryginalny opis (angielski, źródło NVD)
Scriban before 7.2.0 contains a denial of service vulnerability in the array.insert_at function that allocates unbounded null entries without respecting LoopLimit or LimitToString constraints. Attackers can supply a large index parameter to trigger OutOfMemoryException and crash the host process in under a second.