Към съдържанието
Търсене

CVE-2026-106444: handlebars-lang handlebars.js, невалидиран вход

4.7

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Handlebars provides the power necessary to let users build semantic templates. From 4.0.0 until 4.7.10, Handlebars.precompile() uses quotedString() in lib/handlebars/compiler/code-gen.js to emit static template text into generated JavaScript without escaping sequences that terminate an enclosing HTML script element. When an application precompiles attacker-controlled template text and embeds the generated source directly in an inline script element, a closing script delimiter can end the element and cause following attacker-controlled markup to be parsed and executed. Ordinary server-side rendering and precompiled templates served as external JavaScript files are not affected. This issue is fixed in version 4.7.10.

Засегнати продукти

  • handlebars-lang handlebars.js: >= 4.0.0, < 4.7.10

Вид слабост

История

  • 6 октомври 2026 Публикувано

Други уязвимости в handlebars-lang handlebars.js

Първоизточници

CVE-2026-106444: handlebars-lang handlebars.js, невалидиран вход | freedomonline.bg