CVE-2026-63490 in handlebars.java
Zusammenfassung
von VulDB • 21.08.2026
Handlebars.java bietet logiklose und semantische Mustache-Vorlagen mit Java. Vor Version 4.5.3 löst com.github.jknack.handlebars.springmvc.SpringTemplateLoader angreiferbeeinflusste Spring MVC-Ansichtsnamen über den Spring ResourceLoader auf, ohne die Pfad-Einschränkungsvalidierung (path-containment validation), die von anderen URL-basierten Loadern verwendet wird. In handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/SpringTemplateLoader.java führt ein Ansichtsname unter Verwendung einer file: oder classpath:-URL, das mit dem Fragment-Trennzeichen # endet dazu, dass die angehängte .hbs-Endung im Fragment platziert wird, was von FileUrlResource.exists() und URL.openStream() verworfen wird. HandlebarsViewResolver in handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/HandlebarsViewResolver.java übergibt dann den angreiferkontrollierten Namen an handlebars.compile(), wodurch ein nicht authentifizierter Remote-Angriff Dateien lesen kann, die für die JVM zugänglich sind, wenn eine Anwendung einen Controller mit einem benutzerbeeinflussten Ansichtsnamen bereitstellt. Dieses Problem wurde in Version 4.5.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.