This post is a research article published by EQSTLab.
Referenced PoC: dinhvaren/cve-2026-33937
★ CVE-2026-33937 Handlebars.js ASTインジェクション リモートコード実行 PoC ★
https://github.com/user-attachments/assets/99e383e7-e71f-4e10-8c62-f50abff8b4f5
CVE-2026-33937 : Handlebars.js ASTインジェクションによるリモートコード実行の脆弱性
| 影響を受けるバージョン | 4.0.0 – 4.7.8 |
| パッチ適用済みバージョン | 4.7.9 |
| CVSSスコア | 9.8 (緊急) |
Handlebars.js の型混淆（Type Confusion）の脆弱性は、Handlebars.compile() がテンプレート文字列だけでなく、事前にパースされた AST オブジェクト（JSON）も入力として受け入れることに起因します。compile() に渡す値を制御できる攻撃者は、NumberLiteral ノードの value フィールドが任意の JavaScript 文字列に置き換えられた、細工された AST オブジェクトを提供できます。内部のコードジェネレーターは、そのフィールドをサニタイズなしで生成される JavaScript 関数本体に直接挿入するため、結果として生成された関数は、レンダリング時に攻撃者が制御するコードを実行します。これにより、サーバー上でリモートコード実行（RCE）が達成されます。
Docker を使用して脆弱な環境をビルドして実行します:
イメージのビルド
docker build -t cve-2026-33937-server .
コンテナの実行
docker run --name cve-2026-33937 -p 12701:12701 -p 9229:9229 cve-2026-33937-server
または、提供されている npm スクリプトを使用します:
npm run docker:up # build + run in one step
アプリケーションは http://localhost:12701 で提供されます。
Web UI
ブラウザで http://localhost:12701 を開きます。このページは B2B メールビルダーインターフェースを表示します。ユーザーが指定したフィールド値は、クライアント側で Handlebars テンプレート文字列に補間され、レンダリングのためにサーバーに送信されます。入力フィールドまたは API を直接通じて、悪意のある Handlebars ペイロードを注入します。
直接 API
# POST crafted template to the vulnerable endpoint
curl -s -X POST http://localhost:12701/api/email/preview \
-H "Content-Type: application/json" \
-d '{"subject":"test","editorTemplateData":"<PAYLOAD>"}'
<PAYLOAD> を、Handlebars.compile() を対象とした AST インジェクションペイロードに置き換えます。
POST /api/email/preview
サーバーは editorTemplateData を含む JSON ボディを受け入れ、それをサニタイズや許可リストの適用なしで直接 Handlebars.compile() に渡します:
// app.js
const renderEmail = Handlebars.compile(editorTemplateData);
Handlebars.compile() はテンプレート文字列を受け入れるものとして文書化されていますが、その内部の型チェックでは、事前にパースされた AST オブジェクトを直接渡すことも許可されています。javascript-compiler.js 内の NumberLiteral() ビジターは、ノードの value フィールドを、型検証やサニタイズなしで生成された JavaScript ソースにそのまま出力します:
// javascript-compiler.js (simplified)
NumberLiteral(number) {
this.pushStackLiteral(number.value); // value inserted as-is into emitted JS
}
攻撃者が、number.value が数値リテラルではなく任意の JavaScript を含む文字列（例: "1; require('child_process').execSync(...)"）である、細工された AST オブジェクトを提供した場合、生成された関数本体にはそのコードが含まれ、レンダリング時に実行されます。
脆弱なアプリケーションにおける危険なパターンは次のとおりです:
const render = Handlebars.compile(userInput); // userInput may be a crafted AST object
render(safeContextData); // attacker code runs here
悪用手法に関する注記: 既存の公開 PoC（参照した PoC を含む）は、
NumberLiteralノードとlookupヘルパーを組み合わせて注入を実現しています。この PoC は、BooleanLiteralノードと組み込みのlogヘルパーを組み合わせて同じ RCE プリミティブを確認し、型混淆が単一のノード型やヘルパー関数に限定されないことを示しています。
editorTemplateData 値を含む POST リクエストを /api/email/preview に送信します。Handlebars.compile() を呼び出します。render() を呼び出すと、サーバープロセス内で任意の JavaScript が実行されます。Handlebars が Node.js バックエンド環境で実装されている場合、この脆弱性は標準的なクライアントサイド XSS とは異なり、サーバーサイドのコード実行経路につながります。この攻撃では、出力がユーザーに反映される必要はなく、ペイロードは Node.js プロセス内でアプリケーションと同じ権限で実行されます。デプロイ環境に応じて、次のようなことが可能です:
/etc/passwd）を読み取り、外部に持ち出すことができます。+-------------------------------------------+
| Attacker |
+-------------------------------------------+
|
| POST /api/email/preview
| {"editorTemplateData": "<malicious payload>"}
v
+-------------------------------------------+
| Handlebars.compile(editorTemplateData) |
| (No sanitization — app.js:17) |
+-------------------------------------------+
|
| AST node injection
| breaks template sandbox
v
+-------------------------------------------+
| Arbitrary JS Execution (Server Process) |
+-------------------------------------------+
|
| Read sensitive files, spawn shell,
| exfiltrate secrets, etc.
v
+-------------------------------------------+
| Remote Code Execution (RCE) |
+-------------------------------------------+
Handlebars.js を 4.7.9 以降にアップグレードしてください。
バージョン 4.7.9 では、compile() に厳格な入力型検証が導入され、コード生成が始まる前に文字列以外の引数を拒否します。
compile() を呼び出す前に型チェックを実施してください。
直ちにアップグレードできない場合は、呼び出し箇所で引数が常に string であることを検証してください:
if (typeof templateInput !== 'string') throw new TypeError('Template must be a string');
const render = Handlebars.compile(templateInput);
ビルド時のプリコンパイルに handlebars/runtime を使用してください。
Handlebars CLI を使用してテンプレートをビルド時にプリコンパイルし、ランタイムバンドルだけを配布してください。ランタイムビルドには compile() が含まれないため、本番環境では攻撃対象領域を完全に排除できます。
このリポジトリは、セキュリティ研究、教育、および管理された脆弱性デモンストレーションのみを目的としています。システム所有者からの明示的な書面による許可なしに、システムのテストや悪用に使用してはなりません。このプロジェクトの目的は、セキュリティ研究者、防御者、開発者が脆弱性を理解し、管理されたラボ環境で露出を検証し、効果的な緩和策を適用するのに役立てることです。