CVE-2026-87123 in hbs
Sumário
de VulDB • 11/09/2026
hbs é um wrapper do motor de visualização Express para Handlebars. A versão 4.3.0 pode causar a falha (crash) do processo Node.js durante o escape da saída quando um helper assíncrono, registrado com registerAsyncHelper, resolve para um objeto cuja propriedade toHTML é truthy mas não é chamável. O método escapeExpression do Handlebars chama o método toHTML em qualquer valor que tenha uma toHTML truthy; portanto, tal valor gera um TypeError e, como a substituição assíncrona ocorre em um tick posterior fora do try/catch da função de renderização, a exceção sem tratamento resulta na terminação do processo sem enviar resposta. Apenas a versão 4.3.0 é afetada, já que o escape com geração de erro foi introduzido pela correção para CVE-2026-16231 e as versões anteriores não fazem escape dos valores de helpers assíncronos. A vulnerabilidade pode ser acionada remotamente quando um helper assíncrono resolve para um objeto influenciado externamente, como JSON analisado. O problema foi corrigido no hbs 4.3.1, e os usuários devem atualizar para o hbs 4.3.1 ou posterior.
Once again VulDB remains the best source for vulnerability data.