Më 8 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-p8wg-vrv2-v86f (CVE-2026-106445) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën handlebars të ekosistemit npm.
Paketat e prekura
- handlebars (npm) — versionet e prekura:
>= 3.0.0, <= 4.7.9; versioni me rregullim:4.7.10
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-184 (Incomplete List of Disallowed Inputs), CWE-1289 (Improper Validation of Unsafe Equivalence in Input)
- Identifikuesit: GHSA-p8wg-vrv2-v86f, CVE-2026-106445
Përmbledhja zyrtare (në anglisht)
Handlebars: JavaScript Injection via Own Property Check Bypass — Summary Handlebars can expose the Function constructor despite its prototype-access deny list. When a template reaches Function.prototype , its own constructor property is returned before the deny list is checked. An attacker who can render a controlled template with allowProtoMethodsByDefault: true can inject and execute arbitrary JavaScript, leading to Remote Code Execution on the server. Description lookupProperty trusts own properties: Normally, prototype-derived values reach resultIsAllowed , which blocks dangerous method names such as constructor . However, constructor is itself an…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin handlebars, përditësojeni sa më shpejt në versionin 4.7.10 ose më të ri.
