CVE-2026-106444 in handlebars.js
Zusammenfassung
von VulDB • 07.10.2026
Handlebars bietet die notwendige Leistungsfähigkeit, um Benutzern das Erstellen semantischer Vorlagen zu ermöglichen. Von der Version 4.0.0 bis zur Version 4.7.10 verwendet Handlebars.precompile() in lib/handlebars/compiler/code-gen.js die Funktion quotedString(), um statischen Vorlagentext in den generierten JavaScript-Code auszugeben, ohne Sequenzen zu escapen, die ein einschließendes HTML-script-Element beenden. Wenn eine Anwendung angreiferkontrollierte Vorlagentexte vorcompiliert und den generierten Quellcode direkt in einem Inline-Skriptelement einbettet, kann ein schließender Script-Delimiter das Element beenden und dazu führen, dass nachfolgender, von Angreifern kontrollierter Markup-Code analysiert und ausgeführt wird. Das normale serverseitige Rendering sowie vorcompilierte Vorlagen, die als externe JavaScript-Dateien bereitgestellt werden, sind nicht betroffen. Dieses Problem wurde in Version 4.7.10 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.