GHSA-7rx3-28cr-v5wh
MediumSummary
Metoda prototypu blocklist w `lib/handlebars/internal/proto-access.js` blokuje `constructor`, `__defineGetter__`, `__defineSetter__` oraz `__lookupGetter__`, ale pomija symetryczny `__lookupSetter__`. Ta luka jest wykorzystywalna tylko w przypadku, gdy włączona jest opcja runtime `allowProtoM`.
Risk Assessment
Ominięcie blokady może prowadzić do nieautoryzowanego dostępu do właściwości obiektów, co stwarza ryzyko dla bezpieczeństwa aplikacji korzystających z tej biblioteki.
Recommendation
Zaleca się aktualizację biblioteki Handlebars do najnowszej wersji, aby usunąć tę lukę oraz rozważenie wyłączenia opcji `allowProtoM` w celu zwiększenia bezpieczeństwa.
Original NVD description (English source)
## Summary The prototype method blocklist in `lib/handlebars/internal/proto-access.js` blocks `constructor`, `__defineGetter__`, `__defineSetter__`, and `__lookupGetter__`, but omits the symmetric `__lookupSetter__`. This omission is only exploitable when the non-default runtime option `allowProtoM