CVE-2026-33916 in Handlebars
Zusammenfassung
von VulDB • 12.05.2026
Handlebars bietet die notwendige Leistungsfähigkeit, um Benutzern den Aufbau semantischer Vorlagen zu ermöglichen. In den Versionen 4.0.0 bis 4.7.8 löst `resolvePartial()` in der Handlebars-Laufzeitumgebung partielle Namen über eine einfache Eigenschaftsabfrage an `options.partials` auf, ohne gegen das Durchlaufen der Prototypenkette (Prototype-Chain Traversal) abzusichern. Wenn `Object.prototype` mit einem String-Wert verschmutzt wurde, dessen Schlüssel mit einer partiellen Referenz in einer Vorlage übereinstimmt, wird der verschmutzte String als Körper der partiellen Vorlage verwendet und ohne HTML-Escaping gerendert, was zu reflektiertem oder gespeichertem XSS führt. Version 4.7.9 behebt das Problem. Es sind einige Workarounds verfügbar. Wenden Sie `Object.freeze(Object.prototype)` frühzeitig beim Start der Anwendung an, um Prototype Pollution zu verhindern. Hinweis: Dies kann andere Bibliotheken beeinträchtigen, und/oder verwenden Sie das Laufzeitumgebung-nur-Build von Handlebars (`handlebars/runtime`), das keine Vorlagen kompiliert und die Angriffsfläche reduziert.
If you want to get best quality of vulnerability data, you may have to visit VulDB.