CVE-2026-106446
Handlebars: Injeção de JavaScript via confusão de tipo AST em compile (contorno de CVE-2026-33937)
Traduzido automaticamente do inglês.
Handlebars.compile() e Handlebars.precompile() aceitam uma AST pré-analisada, bem como uma string de modelo. Handlebars 4.7.9 adicionou validação para tais ASTs. Ele verifica apenas os valores em nós PathExpression, NumberLiteral e BooleanLiteral, e o compilador ainda escreve vários outros valores AST no JavaScript gerado sem verificação.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.8 (v3.1)
- EPSS
- 0,64% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- handlebars (npm) >= 4.0.0, <= 4.7.9, corrigido em 4.7.10 · GHSA-8r5x-fm3f-whwj