Veille sécuritéFrontend
P3Élevée
Dans LiquidJS, le filtre `date` transmettait sans borne la largeur d’un spécificateur strftime à une fonction de remplissage, contournant les limites documentées de mémoire et de rendu. Une entrée de format contrôlée peut provoquer une consommation excessive de mémoire et de CPU ; mettre à jour `liquidjs` vers la version 10.26.0 ou ultérieure.
JavaScript
IdentifiantCVE-2026-45357
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif10.26.0
Source : GitHub Advisory GHSA-hh27-hf48-9f5q
Analyse technique
La largeur capturée par le parseur strftime est transmise à une boucle de remplissage sans limite et sans consommation correspondante des budgets `memoryLimit` ou `renderLimit`.
Impact, versions et correctif
Événement datéAvis GitHub mis à jour le 2026-10-28 à 15:02:57Z, dans la période demandée ; l’avis initial date du 2026-05-27. La mise à jour retenue est substantielle, car elle documente la vulnérabilité et ses correctifs.
ImpactDéni de service par allocation mémoire et consommation CPU excessives lors du rendu.
Versions affectéesliquidjs <= 10.25.7
Version corrigée10.26.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,39% · percentile 32,5%
Publication2026-05-27T17:33:52Z
Mise à jour2026-10-28T15:02:57Z
Action recommandée
Mettre à jour liquidjs vers 10.26.0 ou ultérieur ; éviter de transmettre des formats de date non fiables aux templates non corrigés.
Sources
Priorisation DFS : P3 · 1 source(s).