Vulnerabilidad en liquidjs de harttle (CVE-2026-33285)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

26/03/2026

Última modificación:

30/03/2026

Descripción

LiquidJS es un motor de plantillas compatible con Shopify / GitHub Pages en JavaScript puro. Antes de la versión 10.25.1, el mecanismo de seguridad &#39;memoryLimit&#39; de LiquidJS puede ser completamente eludido mediante el uso de expresiones de rango inverso (por ejemplo, &#39;(100000000..1)&#39;), permitiendo a un atacante asignar memoria ilimitada. Combinado con una operación de aplanamiento de cadenas (por ejemplo, el filtro &#39;replace&#39;), esto causa un error fatal de V8 que provoca la caída del proceso de Node.js, resultando en una denegación de servicio completa desde una única solicitud HTTP. La versión 10.25.1 corrige el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto