🇰🇷 한글 설명
Scriban 7.0.0 미만 버전의 object.to_json 내장 함수에서 제어되지 않는 재귀 취약점이 발견되었습니다. 이 함수는 깊이 제한과 순환 참조 탐지 기능이 없어, 공격자가 자기 참조 객체를 포함한 템플릿을 작성할 경우 StackOverflowException을 유발하여 호스트 .NET 프로세스를 강제 종료시킬 수 있습니다.
💡 쉬운 설명
프로그램이 데이터를 변환할 때 끝없이 반복되는 구조를 만나면 멈춰버리는 문제입니다. 공격자가 특수하게 만든 데이터를 보내면 프로그램이 갑자기 꺼질 수 있습니다.
🇺🇸 원문 (English)
Scriban before 7.0.0 contains an uncontrolled recursion vulnerability in the object.to_json builtin function that lacks depth limits and circular reference detection. Attackers can craft templates with self-referencing objects to trigger unbounded recursion, causing a StackOverflowException that fatally terminates the hosting .NET process.
📍 영향받는 시스템
Scriban versions before 7.0.0
⚔️ 공격 벡터
자기 참조(Self-referencing) 객체를 포함한 악의적인 템플릿을 전달하여 재귀 호출 유도
🛡️ 대응 방법
Scriban 버전을 7.0.0 이상으로 업데이트
🔧 검증 코드
출력된 Scriban의 버전이 7.0.0 미만인지 확인
dotnet list package | grep Scriban