CVE-2026-87123 in hbs
الملخص
بحسب VulDB • 11/09/2026
hbs هو غلاف لمحرك عرض Express مخصص لـ Handlebars. يمكن أن يتسبب الإصدار 4.3.0 في تعطل عملية Node.js أثناء هروب المخرجات (output escaping) عندما يحل مساعد غير متزامن (async helper)، تم تسجيله باستخدام `registerAsyncHelper`، إلى كائن تكون خاصية `toHTML` فيه ذات قيمة حقيقية (truthy) لكنها ليست قابلة للاستدعاء (not callable). يستدعي Handlebars دالة `escapeExpression` طريقة `toHTML` على أي قيمة تحتوي على `toHTML` ذي قيمة حقيقية، مما يؤدي إلى طرح استثناء من نوع TypeError. وبما أن الاستبدال غير المتزامن يعمل في دورة زمنية لاحقة خارج نطاق try/catch الخاص بدالة العرض (render function)، فإن الطرح يُعد استثناءً غير مُعالجًا ينهي العملية دون إرسال أي رد. يتأثر فقط الإصدار 4.3.0، حيث تم إدخال سلوك طرح الخطأ هذا من خلال الإصلاح الخاص بـ CVE-2026-16231، ولا تقوم الإصدارات السابقة بهروب قيم مساعدي الـ async. يمكن تشغيل هذه الثغرة عن بُعد عندما يحل مساعد غير متزامن إلى كائن يتأثر خارجيًا مثل JSON مُحلَّل. تم إصلاح المشكلة في hbs 4.3.1، وينبغي للمستخدمين الترقية إلى hbs 4.3.1 أو إصدار أحدث.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.