Plataforma
nodejs
Componente
liquidjs
Corregido en
10.25.1
10.25.0
El CVE-2026-30952 describe una vulnerabilidad de Path Traversal en la biblioteca liquidjs. Esta vulnerabilidad permite a atacantes acceder a archivos arbitrarios en el sistema, comprometiendo la confidencialidad de los datos. Afecta a versiones anteriores a 10.25.0 y ha sido solucionada en esta versión.
La vulnerabilidad de Path Traversal en liquidjs permite a un atacante, si tiene control sobre el contenido de la plantilla o puede especificar la ruta del archivo a incluir como variable Liquid, leer archivos arbitrarios en el sistema de archivos. Esto podría incluir archivos de configuración sensibles, código fuente, o datos confidenciales. La severidad del impacto depende de los permisos del proceso que ejecuta liquidjs y de la ubicación de los archivos accesibles. Un atacante podría obtener información valiosa para realizar ataques posteriores o incluso comprometer la integridad del sistema.
Este CVE fue publicado el 2026-03-10. No se ha reportado explotación activa en entornos reales, pero la disponibilidad de la vulnerabilidad y su relativa facilidad de explotación la convierten en un objetivo potencial. No se encuentra en el KEV de CISA. Se recomienda monitorear activamente los sistemas que utilizan liquidjs.
Applications built on Node.js that utilize liquidjs for templating, particularly those with default configurations enabling dynamicPartials: true or allowing user-controlled template content, are at risk. Shared hosting environments where multiple applications share the same server and file system are also particularly vulnerable, as a compromise in one application could potentially lead to access to files belonging to others.
• nodejs / server:
ps aux | grep liquidjs
find / -name "liquidjs" -type d 2>/dev/null• generic web:
curl -I 'http://your-application.com/templates/include?file=../../../../etc/passwd' # Attempt to access sensitive files
grep -r 'require.resolve' /path/to/your/application/node_modules/liquidjs/disclosure
Estado del Exploit
EPSS
0.02% (5% percentil)
CISA SSVC
La mitigación principal es actualizar a la versión 10.25.0 de liquidjs, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda deshabilitar la opción dynamicPartials: true en la configuración de LiquidJS, ya que esta opción es necesaria para explotar la vulnerabilidad. Además, se debe revisar y restringir el acceso a los archivos del sistema de archivos, asegurando que solo los usuarios autorizados tengan acceso a los recursos críticos. Verifique la integridad de las plantillas para evitar la inyección de rutas maliciosas.
Actualice la versión de liquidjs a la 10.25.0 o superior. Esto corrige la vulnerabilidad de path traversal que permite el acceso a archivos arbitrarios.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-30952 is a Path Traversal vulnerability affecting liquidjs versions prior to 10.25.0. It allows attackers to potentially read arbitrary files on the server by manipulating template content or filepaths.
You are affected if you are using liquidjs versions earlier than 10.25.0 and your application allows user control over template content or filepaths, especially if dynamicPartials: true is enabled.
Upgrade to liquidjs version 10.25.0 or later. Consider WAF rules or disabling dynamicPartials: true as temporary mitigations.
There is currently no evidence of active exploitation campaigns targeting CVE-2026-30952, but the vulnerability's nature makes it potentially exploitable.
Refer to the liquidjs GitHub repository for updates and advisories: https://github.com/harttle/liquidjs
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.