„`html
CVE-2026-73061: Kritische Schwachstelle in Scriban Template Engine
Zusammenfassung
Eine kritische Sicherheitslücke in Scriban vor Version 7.2.2 ermöglicht einen Bypass von Access-Modifiern in der TypedObjectAccessor-Komponente. Die Schwachstelle erlaubt es Angreifern, über Template-Code CLR-Objekteigenschaften zu manipulieren, ohne Sichtbarkeitsprüfungen für Setter zu beachten. Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Vulnerability mit erheblichem Schadenpotential.
Betroffene Systeme
Die Schwachstelle betrifft Scriban-Versionen vor 7.2.2. Gefährdet sind alle Systeme und Anwendungen, die die Template-Engine zur Verarbeitung von Template-Code einsetzen, insbesondere in Umgebungen, in denen Benutzer oder externe Quellen Templates bereitstellen können.
Technische Details
Der Fehler liegt in der TypedObjectAccessor-Komponente, die für die Objektzugriffsverwaltung verantwortlich ist. Die Komponente führt keine ordnungsgemäßen Sichtbarkeitsprüfungen durch:
- Private Setter: Template-Code kann private Eigenschaften von CLR-Objekten beschreiben
- Internal Setter: Interne Setter sind ebenfalls zugänglich
- Init-only Properties: Init-only Setter können nach Objektinitialisierung noch gesetzt werden
- Mass Assignment: Beliebige öffentliche Eigenschaften können in Massen zugewiesen werden
Dies führt zur permanenten Modifikation von Host-Objekten nach Template-Rendering, was zu kritischen Datenintegrität- und Sicherheitsproblemen führt.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf Scriban 7.2.2 oder höher
- Input-Validierung: Templates aus nicht vertrauenswĂĽrdigen Quellen mit Vorsicht behandeln
- Sandboxing: Template-AusfĂĽhrung in isolierten Umgebungen durchfĂĽhren
- Zugriffskontrolle: Restriktive Berechtigungen fĂĽr Template-Verarbeitung implementieren