What is CVE-2026-74790?
CVE-2026-74790 is a vulnerability in Scriban before 7.0.0 where TypedObjectAccessor is cached solely by Type, ignoring MemberFilter changes. This allows reused TemplateContext instances to expose members that should be hidden after a filter update. Attackers can access filtered properties and fields by reusing a TemplateContext with a tightened MemberFilter; upgrading to version 7.0.0 is the recommended mitigation.
Azərbaycanca: CVE-2026-74790, Scriban-in 7.0.0-dən əvvəlki versiyalarında TypedObjectAccessor-un yalnız Type əsasında keşlənməsi səbəbindən MemberFilter dəyişikliklərinin nəzərə alınmamasıdır. Bu zəiflik TemplateContext-in təkrar istifadəsi zamanı gizlədilməli olan member-lərin ifşa olmasına gətirib çıxarır. Təsirə məruz qalan sistemlərdə hücumçular MemberFilter-i sərtləşdirildikdən sonra belə filtered property-lərə giriş əldə edə bilirlər, buna görə də Scriban-i 7.0.0 versiyasına yeniləmək tövsiyə edilir.
Related CVEs
link basis: same weakness class CWE-284
FAQ2
Why does CVE-2026-74790 occur in Scriban?
The vulnerability occurs in Scriban before 7.0.0 because TypedObjectAccessor is cached solely by Type, ignoring MemberFilter changes.
What mitigation is recommended for CVE-2026-74790?
It is recommended to upgrade Scriban to version 7.0.0.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.