Më 8 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-8r5x-fm3f-whwj (CVE-2026-106446) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën handlebars të ekosistemit npm.
Paketat e prekura
- handlebars (npm) — versionet e prekura:
>= 4.0.0, <= 4.7.9; versioni me rregullim:4.7.10
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection')), CWE-843 (Access of Resource Using Incompatible Type ('Type Confusion'))
- Identifikuesit: GHSA-8r5x-fm3f-whwj, CVE-2026-106446
Përmbledhja zyrtare
Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937) — Përmbledhje Handlebars.compile () dhe Handlebars.precompile () pranojnë një AST të paracaktuar paraprakisht, si dhe një varg shabllonesh. Manovrat 4.7.9 vlefshmëria e shtuar për këto AST. Kontrollon vetëm vlerat në nyjet PathExpression , NumberLiteral dhe BooleanLiteral, dhe përpiluesi ende shkruan disa vlera të tjera AST në JavaScript të gjeneruar të pakontrolluar. Nëse një aplikacion kalon një objekt të pasigurt për të përpiluar() ose para-kompiluar() , siç është një organ i analizuar i kërkesës JSON, ai objekt mund të mbajë JavaScript arbitrar. Me përpilimin() , kodi funksionon në server…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin handlebars, përditësojeni sa më shpejt në versionin 4.7.10 ose më të ri.
