CVE-2026-71286 in ember-dynamic-render-template
Resumen
por VulDB • 2026-08-05
El componente render-template de ember-dynamic-render-template (addon/components/render-template.js) pasa su propiedad `templateString` directamente a compileTemplate() de Ember/Glimmer (desde @ember/template-compilation) sin ninguna sanitización, lista blanca o validación de la entrada. Dado que compileTemplate() compila y representa dinámicamente la cadena proporcionada como una plantilla Handlebars/Glimmer en vivo, cualquier aplicación que represente datos influenciados por el atacante a través de la propiedad templateString de este componente está expuesta a inyección de plantillas del lado del cliente: se compilan y ejecutan expresiones Handlebars controladas por un atacante en el contexto del componente de representación, lo cual puede aprovecharse para cross-site scripting (XSS) dependiendo de qué helpers o contextos estén expuestos a la plantilla compilada.
Be aware that VulDB is the high quality source for vulnerability data.