liquidjs にはパス・トラバーサル・フォールバックの脆弱性があります

この脆弱性は、攻撃者がliquidjsのテンプレートエンジンを介してサーバー上の任意のファイルにアクセスすることを可能にします。layout、render、includeタグにおいて、絶対パスを直接指定したり、dynamicPartials: trueが有効な状態でLiquid変数を通じてファイルパスを指定することで、この脆弱性が悪用されます。これにより、機密情報を含む設定ファイルやソースコードが漏洩する可能性があります。攻撃者は、この脆弱性を利用して、サーバーの他の部分へのアクセスを試み、さらなる攻撃を仕掛けることも考えられます。

Applications built on Node.js that utilize liquidjs for templating, particularly those with default configurations enabling dynamicPartials: true or allowing user-controlled template content, are at risk. Shared hosting environments where multiple applications share the same server and file system are also particularly vulnerable, as a compromise in one application could potentially lead to access to files belonging to others.

• nodejs / server:

  ps aux | grep liquidjs
  find / -name "liquidjs" -type d 2>/dev/null

• generic web:

  curl -I 'http://your-application.com/templates/include?file=../../../../etc/passwd' # Attempt to access sensitive files
  grep -r 'require.resolve' /path/to/your/application/node_modules/liquidjs/

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-03-07
2. 公開日2026-03-10
3. 更新日2026-03-17
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずliquidjsをバージョン10.25.0以降にアップデートすることを推奨します。アップデートが困難な場合は、dynamicPartials: trueオプションを無効化することで、脆弱性の悪用をある程度軽減できます。また、WAF（Web Application Firewall）を導入し、不正なファイルアクセスを検知・遮断するルールを設定することも有効です。ファイルアクセスログを監視し、異常なアクセスパターンを検出することも重要です。アップデート後、require.resolve()が想定外のディレクトリを解決しないことを確認してください。