GHSA-7rx3-28cr-v5wh

Średnie

Opublikowano: —Przetłumaczono: 07/06/2026(UTC)NVD NIST

Streszczenie

Metoda prototypu blocklist w `lib/handlebars/internal/proto-access.js` blokuje `constructor`, `__defineGetter__`, `__defineSetter__` oraz `__lookupGetter__`, ale pomija symetryczny `__lookupSetter__`. Ta luka jest wykorzystywalna tylko w przypadku, gdy włączona jest opcja runtime `allowProtoM`.

Ocena ryzyka

Ominięcie blokady może prowadzić do nieautoryzowanego dostępu do właściwości obiektów, co stwarza ryzyko dla bezpieczeństwa aplikacji korzystających z tej biblioteki.

Rekomendacja

Zaleca się aktualizację biblioteki Handlebars do najnowszej wersji, aby usunąć tę lukę oraz rozważenie wyłączenia opcji `allowProtoM` w celu zwiększenia bezpieczeństwa.

Oryginalny opis (angielski, źródło NVD)

## Summary The prototype method blocklist in `lib/handlebars/internal/proto-access.js` blocks `constructor`, `__defineGetter__`, `__defineSetter__`, and `__lookupGetter__`, but omits the symmetric `__lookupSetter__`. This omission is only exploitable when the non-default runtime option `allowProtoM