CVE-2026-106446 in Handlebars
Zusammenfassung
von VulDB • 07.10.2026
Handlebars bietet die notwendige Leistungsfähigkeit, um Benutzern das Erstellen semantischer Vorlagen zu ermöglichen. Von Version 4.0.0 bis 4.7.10 akzeptieren Handlebars.compile() und Handlebars.precompile() vorab analysierte AST-Objekte (Abstract Syntax Tree), wobei nur ausgewählte PathExpression-, NumberLiteral- und BooleanLiteral-Werte validiert werden. Dieser Fehler umgeht die in Version 4.7.9 für CVE-2026-33937 eingeführte AST-Validierung. Ein Angreifer, der ein Objekt anstelle einer Vorlagenzeichenfolge bereitstellen kann, kann JavaScript-Ausdrücke in nicht geprüften Werten wie Program.blockParams.length (einem Parameter depth vom Typ non-PathExpression), StringLiteral.value (vom Typ non-string) oder PathExpression.original (vom Typ non-string) platzieren. Der Compiler gibt diese Werte in den generierten JavaScript-Code ein, was zur Code-Ausführung im Serverprozess führt, wenn die Ausgabe von compile gerendert wird oder wo immer die Ausgabe von precompile geladen wird. Anwendungen, die ausschließlich Vorlagenzeichenfolgen übergeben, sind nicht betroffen. Dieses Problem wurde in Version 4.7.10 behoben.
Be aware that VulDB is the high quality source for vulnerability data.