CVE-2026-33940
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala atakującemu na zdalne wykonanie kodu na serwerze poprzez wstrzyknięcie spreparowanego obiektu do kontekstu szablonu. Obiekt ten omija zabezpieczenia w funkcji `resolvePartial()` i powoduje skompilowanie złośliwego kodu JavaScript przez `env.compile()`. Problem został naprawiony w wersji 4.7.9.
Ocena ryzyka
Atakujący, który kontroluje wartość używaną w dynamicznym wyszukiwaniu partiali, może wykonać dowolne polecenia na serwerze, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Handlebars do wersji 4.7.9 lub nowszej. Jeśli aktualizacja nie jest możliwa, zastosuj jeden z obejść: używaj tylko wersji runtime (`require('handlebars/runtime')`), oczyść dane kontekstu przed renderowaniem lub unikaj dynamicznych wyszukiwań partiali z danymi pochodzącymi od użytkownika.
Inne podatności w Handlebars
Zobacz wszystkie- CVE-2026-106446Krytyczne
Handlebars od wersji 4.0.0 do 4.7.10 akceptuje wstępnie sparsowane obiekty AST w metodach compile() i precompile(), walidując tylko wybrane wartości. Atakujący, który może dostarczyć obiekt zamiast stringa szablonu, może umieścić wyrażenia JavaScript w niesprawdzanych wartościach, co prowadzi do wykonania kodu na serwerze. Aplikacje przekazujące tylko stringi szablonów nie są zagrożone. Problem naprawiono w wersji 4.7.10.
- CVE-2026-106445Krytyczne
Handlebars w wersjach od 3.0.0 do 4.7.10 zawiera podatność polegającą na tym, że funkcja lookupProperty zwraca Function.prototype.constructor przed zastosowaniem listy zabronionych właściwości prototype. Pozwala to osobie atakującej, która może renderować kontrolowany szablon z włączonym allowProtoMethodsByDefault, na dostęp do konstruktora Function przez obejście, co umożliwia wykonanie dowolnego kodu JavaScript z uprawnieniami aplikacji serwera.
- CVE-2026-33937Krytyczne
Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie złośliwego kodu JavaScript do wygenerowanego skryptu. Problem wynika z braku sanityzacji wartości w węźle AST `NumberLiteral` podczas kompilacji szablonów. Atakujący może dostarczyć spreparowany obiekt AST do funkcji `Handlebars.compile()`, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2021-23383Średnie
Pakiet handlebars przed wersją 4.7.7 jest podatny na Prototype Pollution, gdy wybiera się określone opcje kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.
- CVE-2021-23369Średnie
Pakiet handlebars przed wersją 4.7.7 jest podatny na zdalne wykonanie kodu (RCE) przy wyborze pewnych opcji kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.
- CVE-2026-106444Średnie
W Handlebars od wersji 4.0.0 do 4.7.10 funkcja Handlebars.precompile() używa quotedString() do emitowania statycznego tekstu szablonu do generowanego JavaScriptu bez escapowania sekwencji kończących element script. Gdy aplikacja prekompiluje tekst kontrolowany przez atakującego i osadza wynik w elemencie inline script, atakujący może zamknąć element i wykonać własny kod.
- CVE-2026-33941Wysokie
Podatność w Handlebars CLI precompiler (wersje 4.0.0 do 4.7.8) pozwala na wstrzyknięcie kodu JavaScript poprzez niesanitowane nazwy plików szablonów i argumenty CLI. Atakujący może wykorzystać to do wykonania dowolnego kodu w środowisku Node.js lub przeglądarce podczas ładowania wygenerowanego pakietu.
- CVE-2026-33939Wysokie
Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) powoduje awarię procesu Node.js podczas przetwarzania szablonu z niezarejestrowanym dekoratorem. Błąd typu TypeError występuje, gdy runtime próbuje wywołać niezdefiniowaną wartość jako funkcję.
- CVE-2026-33938Wysokie
Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala na zdalne wykonanie kodu JavaScript na serwerze. Specjalna zmienna `@partial-block` jest przechowywana w kontekście danych szablonu i może być nadpisana przez helpery akceptujące dowolne obiekty. Gdy helper nadpisze `@partial-block` spreparowanym AST Handlebars, kolejne wywołanie `{{> @partial-block}}` kompiluje i wykonuje to AST, umożliwiając atakującemu wykonanie dowolnego kodu.
- CVE-2019-20920Wysokie
Handlebars w wersjach przed 3.0.8 oraz 4.x przed 4.5.3 jest podatny na wykonanie dowolnego kodu. Helper 'lookup' nieprawidłowo waliduje szablony, co pozwala atakującym na przesłanie szablonów wykonujących dowolny JavaScript. Może to służyć do uruchomienia dowolnego kodu na serwerze przetwarzającym szablony Handlebars lub w przeglądarce ofiary (efektywnie XSS).
Oryginalny opis (angielski, źródło NVD)
Handlebars provides the power necessary to let users build semantic templates. In versions 4.0.0 through 4.7.8, a crafted object placed in the template context can bypass all conditional guards in `resolvePartial()` and cause `invokePartial()` to return `undefined`. The Handlebars runtime then treats the unresolved partial as a source that needs to be compiled, passing the crafted object to `env.compile()`. Because the object is a valid Handlebars AST containing injected code, the generated JavaScript executes arbitrary commands on the server. The attack requires the adversary to control a value that can be returned by a dynamic partial lookup. Version 4.7.9 fixes the issue. Some workarounds are available. First, use the runtime-only build (`require('handlebars/runtime')`). Without `compile()`, the fallback compilation path in `invokePartial` is unreachable. Second, sanitize context data before rendering: Ensure no value in the context is a non-primitive object that could be passed to a dynamic partial. Third, avoid dynamic partial lookups (`{{> (lookup ...)}}`) when context data is user-controlled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS