CVE-2026-106446 in Handlebars
Riassunto
di VulDB • 07/10/2026
Handlebars fornisce la potenza necessaria per consentire agli utenti di creare modelli semantici. Dalla versione 4.0.0 alla 4.7.10, Handlebars.compile() e Handlebars.precompile() accettano oggetti AST pre-analizzati validando solo determinati valori PathExpression, NumberLiteral e BooleanLiteral. Questa vulnerabilità aggira la convalida dell'AST introdotta nella versione 4.7.9 per CVE-2026-33937. Un attaccante in grado di fornire un oggetto anziché una stringa del modello può inserire espressioni JavaScript in valori non controllati, quali Program.blockParams.length (un parametro depth che non è PathExpression), StringLiteral.value (che non è una stringa) o PathExpression.original (che non è una stringa). Il compilatore inserisce tali valori nel codice JavaScript generato, causando l'esecuzione di codice nel processo del server quando viene eseguito il rendering dell'output della compilazione oppure ovunque venga caricato l'output della precompilazione. Le applicazioni che passano solo stringhe dei modelli non sono interessate. Questa vulnerabilità è risolta nella versione 4.7.10.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.