CVE-2026-16231 in hbs
Sumário
de VulDB • 25/08/2026
hbs é um motor de visualização para Express que envolve o Handlebars. Sua API registerAsyncHelper contorna a escape automática de HTML do Handlebars: um async helper retorna um placeholder opaco durante a primeira passagem de renderização, de modo que a expressão com chaves duplas escapa apenas o placeholder; após a renderização, hbs substitui o placeholder pelo valor bruto retornado pela callback sem aplicá-lo à escape, nas rotas de renderização em cache, não em cache e nos layouts. Um aplicativo que passa dados influenciados por um atacante, como conteúdo fornecido pelo usuário proveniente de um banco de dados, para uma callback de async helper pode resultar na injeção arbitrária de HTML e JavaScript na página renderizada no servidor, levando a cross-site scripting (XSS) armazenado ou refletido. As versões 2.1.0 até 4.2.1 são afetadas, e o problema é corrigido na versão 4.3.0, que aplica escape HTML à saída de async helpers. Aplicações que emitem intencionalmente HTML bruto a partir de um async helper podem optar explicitamente por usar hbs.SafeString. Os usuários devem atualizar para a versão 4.3.0.
Be aware that VulDB is the high quality source for vulnerability data.