p PatchFirst

CVE-2026-106444

CVE-2026-106444 · Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Handlebars provides the power necessary to let users build semantic templates. From 4.0.0 until 4.7.10, Handlebars.precompile() uses quotedString() in lib/handlebars/compiler/code-gen.js to emit static template text into generated JavaScript without escaping sequences that terminate an enclosing HTML script element. When an application precompiles attacker-controlled template text and embeds the generated source directly in an inline script element, a closing script delimiter can end the element and cause following attacker-controlled markup to be parsed and executed. Ordinary server-side rendering and precompiled templates served as external JavaScript files are not affected. This issue is fixed in version 4.7.10.

CVSS 4.7 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • handlebars.js

    Версии
    • >= 4.0.0, < 4.7.10: Затронуто

    Нет опубликованного исправления

  • node-handlebars Debian:12

    Версии
    • 3:4.7.10-1
    • 3:4.7.7+~4.1.0-1
    • 3:4.7.9-1
    • 3:4.7.9-2
    • 3:4.7.9-3
    • 3:4.7.9-4
    • 3:4.7.9-5
    • 3:4.7.9-6
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Debian:13

    Версии
    • 3:4.7.10-1
    • 3:4.7.7+~4.1.0-1
    • 3:4.7.9-1
    • 3:4.7.9-2
    • 3:4.7.9-3
    • 3:4.7.9-4
    • 3:4.7.9-5
    • 3:4.7.9-6
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Debian:14

    Версии
    • 3:4.7.7+~4.1.0-1
    • 3:4.7.9-1
    • 3:4.7.9-2
    • 3:4.7.9-3
    • 3:4.7.9-4
    • 3:4.7.9-5
    • 3:4.7.9-6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3:4.7.10-1

    Обновитесь до 3:4.7.10-1

  • handlebars npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.7.10

    Обновитесь до 4.7.10

  • ruby-handlebars-assets Ubuntu:16.04:LTS

    Версии
    • 0.15-2
    • 2:0.20.2-2
    • 2:0.21.0-2
    • 2:0.21.0-3
    • 2:0.21.0-4
    • 2:0.21.0-5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:18.04:LTS

    Версии
    • 3:4.0.10-5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ruby-handlebars-assets Ubuntu:18.04:LTS

    Версии
    • 2:0.23.1-1
    • 2:0.23.2-2
    • 2:0.23.2+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:20.04:LTS

    Версии
    • 3:4.1.0-1
    • 3:4.5.3-1
    • 3:4.7.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ruby-handlebars-assets Ubuntu:20.04:LTS

    Версии
    • 2:0.23.3+dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:22.04:LTS

    Версии
    • 3:4.7.6+~4.1.0-2
    • 3:4.7.7+~4.1.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ruby-handlebars-assets Ubuntu:22.04:LTS

    Версии
    • 2:0.23.8+dfsg-3
    • 2:0.23.8+dfsg-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:24.04:LTS

    Версии
    • 3:4.7.7+~4.1.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ruby-handlebars-assets Ubuntu:24.04:LTS

    Версии
    • 2:0.23.9+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:26.10

    Версии
    • 3:4.7.7+~4.1.0-1
    • 3:4.7.9-5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-handlebars Ubuntu:26.04:LTS

    Версии
    • 3:4.7.7+~4.1.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →