CVE-2026-87123 in hbs
Riassunto
di VulDB • 11/09/2026
hbs è un wrapper per il motore di visualizzazione Handlebars basato su Express. La versione 4.3.0 può causare l'arresto del processo Node.js durante la fase di escaping dell'output quando un helper asincrono, registrato tramite `registerAsyncHelper`, risolve a un oggetto in cui la proprietà `toHTML` è truthy ma non richiamabile (non callable). Handlebars chiama il metodo `escapeExpression` su qualsiasi valore che abbia una proprietà `toHTML` truthy; di conseguenza, tale valore genera un'eccezione `TypeError`. Poiché l'esecuzione dell'helper asincrono avviene in un tick successivo rispetto alla funzione di rendering e al di fuori del blocco try/catch della stessa, l'eccezione non gestita provoca la terminazione del processo senza inviare alcuna risposta. È interessata solo la versione 4.3.0, poiché il comportamento che genera l'errore è stato introdotto dalla correzione per CVE-2026-16231 e le versioni precedenti non effettuano l'escaping dei valori degli helper asincroni. L'attacco può essere eseguito in remoto quando un helper asincrono risolve a un oggetto influenzato dall'esterno, come ad esempio JSON analizzato. Il problema è stato risolto nella versione hbs 4.3.1; gli utenti dovrebbero effettuare l'upgrade alla versione 4.3.1 o successive.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.