CVE-2026-106445
Handlebars: Injeção de JavaScript via contorno de verificação de propriedade própria
Traduzido automaticamente do inglês.
Handlebars pode expor o construtor Function apesar de sua lista de negação de acesso ao protótipo. Quando um modelo atinge Function.prototype, sua própria propriedade construtora é retornada antes da lista de negação ser verificada. Um atacante que puder renderizar um modelo controlado com allowProtoMethodsByDefault: true pode injetar e executar JavaScript arbitrário, levando à execução remota de código no servidor.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0)
- EPSS
- 0,41% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- handlebars (npm) >= 3.0.0, <= 4.7.9, corrigido em 4.7.10 · GHSA-p8wg-vrv2-v86f