CVE-2026-63490 in handlebars.java
요약
\~에 의해 VulDB • 2026. 08. 20.
Handlebars.java는 Java에서 논리 없는 Mustache 템플릿을 제공합니다. 버전 4.5.3 이전에는 com.github.jknack.handlebars.springmvc.SpringTemplateLoader가 공격자가 조작한 Spring MVC 뷰 이름을 다른 URL 기반 로더들이 사용하는 경로 제한(path-containment) 검증 없이 Spring ResourceLoader를 통해 해결합니다. handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/SpringTemplateLoader.java에서 파일: 또는 classpath: URL을 사용하고 # 프래그먼트 구분자로 끝나는 뷰 이름은 추가된 .hbs 접미사를 프래그먼트에 배치하며, 이는 FileUrlResource.exists() 및 URL.openStream()에서 무시됩니다. 그 후 handlebars-springmvc/src/main/java/com/github/jknack/handlebars/springmvc/HandlebarsViewResolver.java의 HandlebarsViewResolver는 공격자가 제어하는 이름을 handlebars.compile()로 전달하여, 애플리케이션이 사용자 영향 하에 있는 뷰 이름으로 컨트롤러를 노출할 때 인증되지 않은 원격 공격자가 JVM에서 접근 가능한 파일을 읽을 수 있게 됩니다. 이 문제는 버전 4.5.3에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.