CVE-2026-106444 in handlebars.js
요약
\~에 의해 VulDB • 2026. 10. 08.
Handlebars는 사용자가 시맨틱 템플릿을 구축할 수 있는 필요한 기능을 제공합니다. 버전 4.0.0부터 4.7.10까지 Handlebars.precompile()은 lib/handlebars/compiler/code-gen.js의 quotedString()을 사용하여, 인클로징 HTML script 요소를 종료하는 이스케이프 시퀀스를 이스케이프 처리하지 않고 생성된 JavaScript에 정적 템플릿 텍스트를 출력합니다. 애플리케이션이 공격자가 제어할 수 있는 템플릿 텍스트를 사전 컴파일하고 이를 인라인 스크립트 요소 내에 직접 임베드하면, 닫는 script 구분자(종료 태그)가 요소를 종료하여 그 뒤에 오는 공격자가 제어하는 마크업이 파싱되고 실행될 수 있습니다. 일반적인 서버 측 렌더링과 외부 JavaScript 파일로 제공되는 사전 컴파일된 템플릿은 영향을 받지 않습니다. 이 문제는 버전 4.7.10에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.