CVE-2026-71286 in ember-dynamic-render-template
Zusammenfassung
von VulDB • 05.08.2026
Die Komponente render-template von ember-dynamic-render-template (addon/components/render-template.js) übergibt ihre Eigenschaft `templateString` direkt an Ember/Glimmers compileTemplate() (aus @ember/template-compilation), ohne jegliche Sanitisierung, Whitelisting oder Validierung der Eingabe. Da compileTemplate() den übergebenen String dynamisch kompiliert und als lebendige Handlebars-/Glimmer-Vorlage rendert, ist jede Anwendung, die angreiferbeeinflusste Daten über die templateString-Eigenschaft dieser Komponente rendert, anfällig für Client-seitiges Template-Injection: Ein vom Angreifer kontrollierter Handlebars-Ausdruck wird im Kontext der rendernden Komponente kompiliert und ausgeführt, was je nach den dem kompilierten Template zur Verfügung gestellten Helfern (Helpers) oder Kontexten für Cross-Site Scripting ausgenutzt werden kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.