CVE-2026-33937

ملخص

Handlebars توفر القوة اللازمة لتمكين المستخدمين من بناء قوالب دلالية. في الإصدارات من 4.0.0 إلى 4.7.8، تقبل `Handlebars.compile()` كائن AST محلل مسبقًا بالإضافة إلى سلسلة القالب. يتم إصدار حقل `value` لعقدة `NumberLiteral` في AST مباشرةً في JavaScript المُولّد دون اقتباس أو تنقية. لذلك، يمكن للمهاجم الذي يستطيع توفير AST مُصمم بعناية إلى `compile()` حقن وتنفيذ JavaScript تعسفي، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد على الخادم. يعمل الإصدار 4.7.9 على إصلاح هذه المشكلة. تتوفر بعض الحلول البديلة. تحقق من نوع الإدخال قبل استدعاء `Handlebars.compile()`؛ تأكد دائمًا من أن الوسيطة هي `string`، وليست كائنًا عاديًا أو قيمة مُعاد تحويلها من JSON. استخدم بناء Handlebars الخاص بوقت التشغيل فقط (`handlebars/runtime`) على الخادم إذا كانت القوالب مُجمّعة مسبقًا في وقت البناء؛ لن تكون `compile()` متاحة.

• CVE-2026-33937استغلال

  Python POC، استغلال (Exploit) لثغرة حقن AST في Handlebars.js تسمح بتنفيذ تعليمات برمجية عن بُعد (RCE). الإصدارات من 4.0.0 حتى 4.7.8 من Handlebars.js متأثرة. درجة CVSS: 9.8 حرجة.

• cve-2026-33937PoC

  إثبات مفهوم لاستغلال CVE-2026-33937، وهي ثغرة حقن في شجرة الصياغة المجردة (AST) الخاصة بـ Handlebars تؤدي إلى تنفيذ تعليمات برمجية عن بُعد في Node.js. يعرض الحمولات المصممة لشجرة الصياغة المجردة ويقدم إرشادات للتخفيف من المخاطر.