Zaloguj się
Deutsch English Español Polski
Wysoka

Arbitrary Code Execution in handlebars

  • Ujawniono: 04.09.2020
  • Aktualizacja: 11.10.2026 10:22

Versions of handlebars prior to 3.0.8 or 4.5.2 are vulnerable to Arbitrary Code Execution. The package's lookup helper fails to properly validate templates, allowing attackers to submit templates that execute arbitrary JavaScript in the system. It can be used to run arbitrary code in a server processing Handlebars templates or on a victim's browser (effectively serving as Cross-Site Scripting).

The following template can be used to demonstrate the vulnerability:

	{{#with split as |a|}}
		{{pop (push "alert('Vulnerable Handlebars JS');")}}
		{{#with (concat (lookup join (slice 0 1)))}}
			{{#each (slice 2 3)}}
				{{#with (apply 0 a)}}
					{{.}}
				{{/with}}
			{{/each}}
		{{/with}}
	{{/with}}
{{/with}}```


## Recommendation

Upgrade to version 3.0.8, 4.5.2 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm handlebars < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2

Odnośniki

Ocena CVSS 7.3/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:L/I:H/A:L
Słabość (CWE)
CWE-94
Platforma
npm
Paczka
handlebars
Ujawniono
04.09.2020
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2cf5-4w76-r9qv - CC BY 4.0

Historia podatności: handlebars

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
10.2018 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 10
  • Średnia 5
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
    Krytyczna · 9.8 CVE-2026-106446 >= 4.0.0, < 4.7.10 4.7.10
  2. Handlebars: JavaScript Injection via Own Property Check Bypass
    Krytyczna CVE-2026-106445 >= 3.0.0, < 4.7.10 4.7.10
  3. Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
    Wysoka · 8.2 CVE-2026-33941 >= 4.0.0, < 4.7.9 4.7.9
  4. Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
    Wysoka · 8.1 CVE-2026-33940 >= 4.0.0, < 4.7.9 4.7.9
  5. Handlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
    Wysoka · 7.5 CVE-2026-33939 >= 4.0.0, < 4.7.9 4.7.9
  6. Handlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
    Wysoka · 8.1 CVE-2026-33938 >= 4.0.0, < 4.7.9 4.7.9
  7. Handlebars.js has JavaScript Injection via AST Type Confusion
    Krytyczna · 9.8 CVE-2026-33937 >= 4.0.0, < 4.7.9 4.7.9
  8. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2021-23383 < 4.7.7 4.7.7
  9. Regular Expression Denial of Service in Handlebars
    Wysoka · 7.5 CVE-2019-20922 >= 4.0.0, < 4.4.5 4.4.5
  10. Arbitrary Code Execution in Handlebars
    Wysoka · 8.1 CVE-2019-20920 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  11. Remote code execution in handlebars when compiling templates
    Krytyczna · 9.8 CVE-2021-23369 < 4.7.7 4.7.7
  12. Arbitrary Code Execution in handlebars
    Wysoka ghsa-q2c6-c6pm-g3gh < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  13. Prototype Pollution in handlebars
    Wysoka ghsa-g9r4-xpmj-mj65 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  14. Arbitrary Code Execution in handlebars ten wpis
    Wysoka · 7.3 ghsa-2cf5-4w76-r9qv < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2
  15. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2019-19919 >= 4.0.0, < 4.3.0, < 3.0.8 4.3.0, 3.0.8
  16. Prototype Pollution in handlebars
    Wysoka · 7.3 ghsa-q42p-pg8m-cqh6 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.14, < 3.0.7 4.1.2, 4.0.14, 3.0.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.