CVE-2026-16231 in hbs
Zusammenfassung
von VulDB • 25.08.2026
hbs ist eine Express-Ansichtsmaschine (View Engine), die Handlebars umschließt. Seine API `registerAsyncHelper` umgeht das automatische HTML-Escaping von Handlebars: Ein asynchroner Helper gibt während des ersten Rendering-Durchlaufs einen undurchsichtigen Platzhalter zurück, sodass der Double-Brace-Ausdruck (`{{...}}`) nur den Platzholder escapt; nach dem Rendern substituiert hbs den Platzhalter durch den rohen Rückgabewert des Callbacks, ohne ihn zu escapen. Dies gilt für die gerenderten Pfade mit Cache, ohne Cache und Layouts. Eine Anwendung, die angreiferbeeinflusste Daten (z. B. benutzergenerierte Inhalte aus einer Datenbank) an einen asynchronen Helper-Callback übergibt, kann daher beliebiges HTML und JavaScript in die serverseitig gerenderte Seite injizieren, was zu gespeichertem oder reflektiertem Cross-Site Scripting (XSS) führt. Die Versionen 2.1.0 bis 4.2.1 sind betroffen; das Problem ist in Version 4.3.0 behoben, welche die Ausgabe asynchroner Helper HTML-escapt. Anwendungen, die absichtlich rohes HTML aus einem asynchronen Helper erzeugen möchten, können dies explizit mit `hbs.SafeString` aktivieren. Benutzer sollten auf Version 4.3.0 aktualisieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.