CVE-2026-33937

Handlebars od wersji 4.0.0 do 4.7.10 akceptuje wstępnie sparsowane obiekty AST w metodach compile() i precompile(), walidując tylko wybrane wartości. Atakujący, który może dostarczyć obiekt zamiast stringa szablonu, może umieścić wyrażenia JavaScript w niesprawdzanych wartościach, co prowadzi do wykonania kodu na serwerze. Aplikacje przekazujące tylko stringi szablonów nie są zagrożone. Problem naprawiono w wersji 4.7.10.

W Handlebars od wersji 4.0.0 do 4.7.10 funkcja lookupProperty zwraca Function.prototype.constructor przed zastosowaniem listy zabronionych dostępu do prototypów. Gdy atakujący może wyrenderować kontrolowany szablon z włączoną opcją allowProtoMethodsByDefault i dostępną funkcją w kontekście szablonu, może uzyskać konstruktor Function i wykonać dowolny kod JavaScript z uprawnieniami aplikacji serwera. Problem naprawiono w wersji 4.7.10.

Pakiet handlebars przed wersją 4.7.7 jest podatny na Prototype Pollution, gdy wybiera się określone opcje kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

Pakiet handlebars przed wersją 4.7.7 jest podatny na zdalne wykonanie kodu (RCE) przy wyborze pewnych opcji kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

W Handlebars od wersji 4.0.0 do 4.7.10 funkcja Handlebars.precompile() używa quotedString() do emitowania statycznego tekstu szablonu do generowanego JavaScriptu bez escapowania sekwencji kończących element script. Gdy aplikacja prekompiluje tekst kontrolowany przez atakującego i osadza wynik w elemencie inline script, atakujący może zamknąć element i wykonać własny kod.

Podatność w Handlebars CLI precompiler (wersje 4.0.0 do 4.7.8) pozwala na wstrzyknięcie kodu JavaScript poprzez niesanitowane nazwy plików szablonów i argumenty CLI. Atakujący może wykorzystać to do wykonania dowolnego kodu w środowisku Node.js lub przeglądarce podczas ładowania wygenerowanego pakietu.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala atakującemu na zdalne wykonanie kodu na serwerze poprzez wstrzyknięcie spreparowanego obiektu do kontekstu szablonu. Obiekt ten omija zabezpieczenia w funkcji `resolvePartial()` i powoduje skompilowanie złośliwego kodu JavaScript przez `env.compile()`. Problem został naprawiony w wersji 4.7.9.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) powoduje awarię procesu Node.js podczas przetwarzania szablonu z niezarejestrowanym dekoratorem. Błąd typu TypeError występuje, gdy runtime próbuje wywołać niezdefiniowaną wartość jako funkcję.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala na zdalne wykonanie kodu JavaScript na serwerze. Specjalna zmienna `@partial-block` jest przechowywana w kontekście danych szablonu i może być nadpisana przez helpery akceptujące dowolne obiekty. Gdy helper nadpisze `@partial-block` spreparowanym AST Handlebars, kolejne wywołanie `{{> @partial-block}}` kompiluje i wykonuje to AST, umożliwiając atakującemu wykonanie dowolnego kodu.

Handlebars w wersjach przed 3.0.8 oraz 4.x przed 4.5.3 jest podatny na wykonanie dowolnego kodu. Helper 'lookup' nieprawidłowo waliduje szablony, co pozwala atakującym na przesłanie szablonów wykonujących dowolny JavaScript. Może to służyć do uruchomienia dowolnego kodu na serwerze przetwarzającym szablony Handlebars lub w przeglądarce ofiary (efektywnie XSS).