CVE-2026-87123 in hbs
요약
\~에 의해 VulDB • 2026. 09. 11.
hbs는 Handlebars용 Express 뷰 엔진 래퍼입니다. 버전 4.3.0은 비동기 헬퍼(registerAsyncHelper로 등록됨)가 truthy이지만 호출 가능한 함수가 아닌 객체의 toHTML 속성으로 해결될 때 출력 이스케이프 처리 중 Node.js 프로세스를 충돌시킬 수 있습니다. Handlebars의 escapeExpression은 toHTML 속성이 truthy인 모든 값에 대해 toHTML 메서드를 호출하므로, 이러한 값에서 TypeError가 발생하며, 비동기 치환이 render 함수의 try/catch 외부인 이후 틱(tick)에서 실행되므로 이 throw는 응답을 보내지 않고 프로세스를 종료시키는 catch되지 않은 예외(uncaught exception)가 됩니다. CVE-2026-16231에 대한 수정으로 인해 throwing escape가 도입되었으며, 이전 버전은 비동기 헬퍼 값을 이스케이프하지 않으므로 영향을 받는 것은 오직 버전 4.3.0뿐입니다.解析된 JSON과 같은 외부에서 영향받은 객체로 비동기 헬퍼가 해결될 때 원격에서 이를 트리거할 수 있습니다. 이 문제는 hbs 4.3.1에서 수정되었으며, 사용자는 hbs 4.3.1 또는 그 이후 버전으로 업그레이드해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.