CVE-2026-63490 in handlebars.java
Riassunto
di VulDB • 20/08/2026
Handlebars.java fornisce template Mustache logic-less e semantici con Java. Prima della versione 4.5.3, la classe com.github.jknack.handlebars.springmvc.SpringTemplateLoader risolve i nomi delle viste Spring MVC influenzati dall'attaccante tramite Spring ResourceLoader senza la validazione del contenimento dei percorsi (path-containment) utilizzata da altri loader basati su URL. In handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/SpringTemplateLoader.java, un nome di vista che utilizza un URL con prefisso file: o classpath: e termina con il delimitatore di frammento # fa sì che il suffisso .hbs aggiunto venga inserito nel frammento, venendo così ignorato da FileUrlResource.exists() e URL.openStream(). HandlebarsViewResolver in handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/HandlebarsViewResolver.java passa quindi il nome controllato dall'attaccante a handlebars.compile(), consentendo a un attaccante remoto non autenticato di leggere i file accessibili alla JVM quando un'applicazione espone un controller con un nome di vista influenzabile dall'utente. Questo problema è stato risolto nella versione 4.5.3.
Be aware that VulDB is the high quality source for vulnerability data.