Zaloguj się
Deutsch English Español Polski
Krytyczna

Remote code execution in handlebars when compiling templates

  • Ujawniono: 06.05.2021
  • Aktualizacja: 11.10.2026 13:19

The package handlebars before 4.7.7 are vulnerable to Remote Code Execution (RCE) when selecting certain compiling options to compile templates coming from an untrusted source.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.webjars.bowergithub.wycats:handlebars.js < 4.7.7 4.7.7
Java / Kotlin (Maven) org.webjars:handlebars < 4.7.7 4.7.7
Java / Kotlin (Maven) org.webjars.npm:handlebars < 4.7.7 4.7.7
Paczka npm handlebars < 4.7.7 4.7.7

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-94
Platforma
Java / Kotlin (Maven), npm
Paczka
org.webjars.bowergithub.wycats:handlebars.js, org.webjars:handlebars, org.webjars.npm:handlebars
Ujawniono
06.05.2021
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f2jv-r9rf-7988 - CC BY 4.0

Historia podatności: handlebars

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
10.2018 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 10
  • Średnia 5
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
    Krytyczna · 9.8 CVE-2026-106446 >= 4.0.0, < 4.7.10 4.7.10
  2. Handlebars: JavaScript Injection via Own Property Check Bypass
    Krytyczna CVE-2026-106445 >= 3.0.0, < 4.7.10 4.7.10
  3. Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
    Wysoka · 8.2 CVE-2026-33941 >= 4.0.0, < 4.7.9 4.7.9
  4. Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
    Wysoka · 8.1 CVE-2026-33940 >= 4.0.0, < 4.7.9 4.7.9
  5. Handlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
    Wysoka · 7.5 CVE-2026-33939 >= 4.0.0, < 4.7.9 4.7.9
  6. Handlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
    Wysoka · 8.1 CVE-2026-33938 >= 4.0.0, < 4.7.9 4.7.9
  7. Handlebars.js has JavaScript Injection via AST Type Confusion
    Krytyczna · 9.8 CVE-2026-33937 >= 4.0.0, < 4.7.9 4.7.9
  8. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2021-23383 < 4.7.7 4.7.7
  9. Regular Expression Denial of Service in Handlebars
    Wysoka · 7.5 CVE-2019-20922 >= 4.0.0, < 4.4.5 4.4.5
  10. Arbitrary Code Execution in Handlebars
    Wysoka · 8.1 CVE-2019-20920 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  11. Remote code execution in handlebars when compiling templates ten wpis
    Krytyczna · 9.8 CVE-2021-23369 < 4.7.7 4.7.7
  12. Arbitrary Code Execution in handlebars
    Wysoka ghsa-q2c6-c6pm-g3gh < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  13. Prototype Pollution in handlebars
    Wysoka ghsa-g9r4-xpmj-mj65 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  14. Arbitrary Code Execution in handlebars
    Wysoka · 7.3 ghsa-2cf5-4w76-r9qv < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2
  15. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2019-19919 >= 4.0.0, < 4.3.0, < 3.0.8 4.3.0, 3.0.8
  16. Prototype Pollution in handlebars
    Wysoka · 7.3 ghsa-q42p-pg8m-cqh6 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.14, < 3.0.7 4.1.2, 4.0.14, 3.0.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.