CVE-2026-63490

WysokieCVSS 7.5

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 25/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Handlebars.java przed wersją 4.5.3 zawiera podatność umożliwiającą odczyt plików. SpringTemplateLoader nie waliduje poprawnie nazw widoków, co pozwala zdalnemu atakującemu na odczyt plików dostępnych dla JVM, gdy aplikacja udostępnia kontroler z nazwą widoku kontrolowaną przez użytkownika. Problem naprawiono w wersji 4.5.3.

Ocena ryzyka

Atakujący może odczytać poufne pliki z serwera, takie jak konfiguracje, dane uwierzytelniające lub dane użytkowników, co prowadzi do wycieku informacji.

Rekomendacja

Zaktualizuj Handlebars.java do wersji 4.5.3 lub nowszej, która zawiera poprawkę.

Inne podatności w Handlebars.java

CVE-2026-55760Wysokie
Podatność w bibliotece Handlebars.java umożliwia odczyt dowolnych plików poprzez path traversal. Aplikacje przekazujące dane użytkownika do metody Handlebars.compile() z użyciem FileTemplateLoader lub ClassPathTemplateLoader są narażone na atak.

Oryginalny opis (angielski, źródło NVD)

Handlebars.java provides logic-less and semantic Mustache templates with Java. Prior to 4.5.3, com.github.jknack.handlebars.springmvc.SpringTemplateLoader resolves attacker-influenced Spring MVC view names through Spring ResourceLoader without the path-containment validation used by other URL-based loaders. In handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/SpringTemplateLoader.java, a view name using a file: or classpath: URL and ending with the # fragment delimiter places the appended .hbs suffix in the fragment, which FileUrlResource.exists() and URL.openStream() discard. HandlebarsViewResolver in handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/HandlebarsViewResolver.java then passes the attacker-controlled name to handlebars.compile(), allowing an unauthenticated remote attacker to read files accessible to the JVM when an application exposes a controller with a user-influenced view name. This issue is fixed in version 4.5.3.