CVE-2026-87123

ŚrednieCVSS 5.9

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

hbs to wrapper silnika widoków Express dla Handlebars. Wersja 4.3.0 może spowodować awarię procesu Node.js podczas escapowania danych wyjściowych, gdy asynchroniczny helper zarejestrowany przez registerAsyncHelper zwraca obiekt, którego właściwość toHTML jest prawdziwa, ale nie jest wywoływalna. Handlebars escapeExpression wywołuje metodę toHTML na każdej wartości z prawdziwym toHTML, co powoduje wyjątek TypeError, a ponieważ podstawienie asynchroniczne działa w późniejszym takcie poza blokiem try/catch funkcji renderującej, wyjątek jest nieprzechwycony i kończy proces bez wysłania odpowiedzi.

Ocena ryzyka

Atakujący może zdalnie wywołać awarię procesu Node.js, powodując odmowę usługi (DoS). Może to zakłócić dostępność aplikacji i usług.

Rekomendacja

Zaktualizuj hbs do wersji 4.3.1 lub nowszej. Sprawdź, czy asynchroniczne helpery nie zwracają obiektów z nieprawidłową właściwością toHTML.

Inne podatności w hbs

CVE-2026-16231Wysokie
hbs to silnik widoków Express, który opakowuje Handlebars. Jego API registerAsyncHelper omija automatyczne kodowanie HTML w Handlebars: asynchroniczny helper zwraca nieprzezroczysty placeholder podczas pierwszego przebiegu renderowania, więc wyrażenie w podwójnych nawiasach koduje tylko placeholder, a po renderowaniu hbs zastępuje placeholder surową wartością zwrotną callbacka bez kodowania jej. Aplikacja przekazująca dane wpływane przez atakującego, np. treści dostarczane przez użytkownika z bazy danych, do callbacka asynchronicznego helpera, może mieć wstrzyknięty dowolny HTML i JavaScript do strony renderowanej po stronie serwera, co prowadzi do przechowywanego lub odbitego XSS. Wersje 2.1.0 do 4.2.1 są dotknięte, a problem jest naprawiony w 4.3.0, które koduje HTML w wynikach asynchronicznych helperów.

Oryginalny opis (angielski, źródło NVD)

hbs is an Express view engine wrapper for Handlebars. Version 4.3.0 can crash the Node.js process during output escaping when an async helper, registered with registerAsyncHelper, resolves to an object whose toHTML property is truthy but not callable. Handlebars escapeExpression calls the toHTML method on any value that has a truthy toHTML, so such a value throws a TypeError, and because the async substitution runs on a later tick outside the render function's try/catch, the throw is an uncaught exception that terminates the process without sending a response. Only version 4.3.0 is affected, since the throwing escape was introduced by the fix for CVE-2026-16231 and earlier versions do not escape async helper values. It can be triggered remotely when an async helper resolves to an externally influenced object such as parsed JSON. The issue is fixed in hbs 4.3.1, and users should upgrade to hbs 4.3.1 or later.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS