CVE-2026-73061: Kritische Schwachstelle in Scriban Template Engine

Zusammenfassung

Eine kritische Sicherheitslücke in Scriban vor Version 7.2.2 ermöglicht einen Bypass von Access-Modifiern in der TypedObjectAccessor-Komponente. Die Schwachstelle erlaubt es Angreifern, über Template-Code CLR-Objekteigenschaften zu manipulieren, ohne Sichtbarkeitsprüfungen für Setter zu beachten. Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Vulnerability mit erheblichem Schadenpotential.

Betroffene Systeme

Die Schwachstelle betrifft Scriban-Versionen vor 7.2.2. Gefährdet sind alle Systeme und Anwendungen, die die Template-Engine zur Verarbeitung von Template-Code einsetzen, insbesondere in Umgebungen, in denen Benutzer oder externe Quellen Templates bereitstellen können.

Technische Details

Der Fehler liegt in der TypedObjectAccessor-Komponente, die für die Objektzugriffsverwaltung verantwortlich ist. Die Komponente führt keine ordnungsgemäßen Sichtbarkeitsprüfungen durch:

• Private Setter: Template-Code kann private Eigenschaften von CLR-Objekten beschreiben
• Internal Setter: Interne Setter sind ebenfalls zugänglich
• Init-only Properties: Init-only Setter können nach Objektinitialisierung noch gesetzt werden
• Mass Assignment: Beliebige öffentliche Eigenschaften können in Massen zugewiesen werden

Dies führt zur permanenten Modifikation von Host-Objekten nach Template-Rendering, was zu kritischen Datenintegrität- und Sicherheitsproblemen führt.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf Scriban 7.2.2 oder höher
• Input-Validierung: Templates aus nicht vertrauenswürdigen Quellen mit Vorsicht behandeln
• Sandboxing: Template-Ausführung in isolierten Umgebungen durchführen
• Zugriffskontrolle: Restriktive Berechtigungen für Template-Verarbeitung implementieren

Bewertung