CVE-2026-33937

Riepilogo

Handlebars fornisce la potenza necessaria per consentire agli utenti di creare template semantici. Nelle versioni dalla 4.0.0 alla 4.7.8, `Handlebars.compile()` accetta un oggetto AST pre-analizzato oltre a una stringa di template. Il campo `value` di un nodo AST `NumberLiteral` viene emesso direttamente nel JavaScript generato senza virgolette o sanitizzazione. Un attaccante che può fornire un AST modificato a `compile()` può quindi iniettare ed eseguire JavaScript arbitrario, portando all'esecuzione remota di codice sul server. La versione 4.7.9 corregge il problema. Sono disponibili alcune soluzioni alternative. Validare il tipo di input prima di chiamare `Handlebars.compile()`; assicurarsi che l'argomento sia sempre una `string`, mai un oggetto semplice o un valore deserializzato da JSON. Utilizzare la build solo runtime di Handlebars (`handlebars/runtime`) sul server se i template vengono pre-compilati in fase di build; `compile()` non sarà disponibile.

• CVE-2026-33937Exploit

  Python POC, Exploit per Handlebars.js AST Injection RCE, le versioni di Handlebars.js dalla 4.0.0 alla 4.7.8 sono interessate. Punteggio CVSS: 9.8 Critico.

• cve-2026-33937PoC

  Proof-of-concept exploit per CVE-2026-33937, una vulnerabilità di iniezione AST in Handlebars che porta all'esecuzione remota di codice in Node.js. Dimostra payload AST appositamente costruiti e fornisce indicazioni di mitigazione.