liquidjs heeft een path traversal fallback kwetsbaarheid

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om gevoelige bestanden op het systeem te lezen, zoals configuratiebestanden, broncode of andere vertrouwelijke gegevens. Dit kan leiden tot datalekken, ongeautoriseerde toegang tot systemen en mogelijk verdere compromittering. De kwetsbaarheid is vooral ernstig omdat LiquidJS require.resolve() gebruikt als fallback, zonder de directories te beperken waaruit het kan oplossen. Dit maakt het mogelijk om bestanden buiten de beoogde template directory te benaderen.

Applications built on Node.js that utilize liquidjs for templating, particularly those with default configurations enabling dynamicPartials: true or allowing user-controlled template content, are at risk. Shared hosting environments where multiple applications share the same server and file system are also particularly vulnerable, as a compromise in one application could potentially lead to access to files belonging to others.

• nodejs / server:

  ps aux | grep liquidjs
  find / -name "liquidjs" -type d 2>/dev/null

• generic web:

  curl -I 'http://your-application.com/templates/include?file=../../../../etc/passwd' # Attempt to access sensitive files
  grep -r 'require.resolve' /path/to/your/application/node_modules/liquidjs/

1. 2026-03-10Disclosure

   disclosure

1. Gereserveerd2026-03-07
2. Gepubliceerd2026-03-10
3. Gewijzigd2026-03-17
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van liquidjs naar versie 10.25.0 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan het uitschakelen van dynamicPartials: true in uw LiquidJS configuratie. Dit beperkt de mogelijkheden voor aanvallers om bestandsnamen te manipuleren. Daarnaast kan het implementeren van een Web Application Firewall (WAF) helpen om verdachte verzoeken te blokkeren. Controleer ook de toegangsrechten op de bestanden en directories die door LiquidJS worden gebruikt om te zorgen dat alleen geautoriseerde gebruikers toegang hebben.