liquidjs présente une vulnérabilité de contournement de chemin

L'exploitation de cette vulnérabilité permet à un attaquant de lire des fichiers sensibles sur le serveur, tels que des fichiers de configuration, des clés API, ou même du code source. La faille est due à la manière dont liquidjs gère les chemins de fichiers, en permettant l'utilisation de chemins absolus, soit directement en tant que chaînes de caractères, soit via des variables Liquid (si dynamicPartials: true est activé, ce qui est la configuration par défaut). Un attaquant peut exploiter cette faille en injectant des chemins malveillants dans le contenu du template, ce qui lui permettra d'accéder à des fichiers en dehors du répertoire prévu. Cette vulnérabilité pourrait être exploitée dans des applications web qui utilisent liquidjs pour générer des pages dynamiques, en particulier si les utilisateurs peuvent contrôler le contenu du template ou spécifier le chemin du fichier à inclure.

Applications built on Node.js that utilize liquidjs for templating, particularly those with default configurations enabling dynamicPartials: true or allowing user-controlled template content, are at risk. Shared hosting environments where multiple applications share the same server and file system are also particularly vulnerable, as a compromise in one application could potentially lead to access to files belonging to others.

• nodejs / server:

  ps aux | grep liquidjs
  find / -name "liquidjs" -type d 2>/dev/null

• generic web:

  curl -I 'http://your-application.com/templates/include?file=../../../../etc/passwd' # Attempt to access sensitive files
  grep -r 'require.resolve' /path/to/your/application/node_modules/liquidjs/

1. 2026-03-10Disclosure

   disclosure

1. Réservé2026-03-07
2. Publiée2026-03-10
3. Modifiée2026-03-17
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour liquidjs vers la version 10.25.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à désactiver la fonctionnalité dynamicPartials en définissant dynamicPartials: false dans la configuration de liquidjs. Il est également recommandé de mettre en œuvre une validation stricte des entrées utilisateur pour empêcher l'injection de chemins malveillants. En cas de déploiement dans un environnement cloud, vérifiez les règles de pare-feu et les politiques de sécurité pour limiter l'accès aux fichiers sensibles. Après la mise à jour, vérifiez la configuration de liquidjs pour vous assurer que dynamicPartials est correctement désactivé si nécessaire.