Anmelden
Deutsch English Español Polski
Niedrig

Handlebars.js has a Property Access Validation Bypass in container.lookup

  • Veröffentlicht: 29.03.2026
  • Aktualisiert: 11.10.2026 10:22

Summary

In lib/handlebars/runtime.js, the container.lookup() function uses container.lookupProperty() as a gate check to enforce prototype-access controls, but then discards the validated result and performs a second, unguarded property access (depths[i][name]). This Time-of-Check Time-of-Use (TOCTOU) pattern means the security check and the actual read are decoupled, and the raw access bypasses any sanitization that lookupProperty may perform.

Only relevant when the compat compile option is enabled ({compat: true}), which activates depthedLookup in lib/handlebars/compiler/javascript-compiler.js.

Description

The vulnerable code in lib/handlebars/runtime.js (lines 137–144):

js
lookup: function (depths, name) {
  const len = depths.length;
  for (let i = 0; i < len; i++) {
    let result = depths[i] && container.lookupProperty(depths[i], name);
    if (result != null) {
      return depths[i][name];  // BUG: should be `return result;`
    }
  }
},

container.lookupProperty() (lines 119–136) enforces hasOwnProperty checks and resultIsAllowed() prototype-access controls. However, container.lookup() only uses lookupProperty as a boolean gate — if the gate passes (result != null), it then performs an independent, raw depths[i][name] access that circumvents any transformation or wrapped value that lookupProperty may have returned.

Workarounds

  • Avoid enabling { compat: true } when rendering templates that include untrusted data.
  • Ensure context data objects are plain JSON (no Proxies, no getter-based accessor properties).

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket handlebars >= 4.0.0, < 4.7.9 4.7.9

Verweise

CVSS-Wert 3.7/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE)
CWE-367
Plattform
npm
Paket
handlebars
Veröffentlicht
29.03.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-442j-39wm-28r2 - CC BY 4.0

Schwachstellenhistorie: handlebars

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (22) im Archiv
Einträge insgesamt
22
Erste → letzte
10.2018 10.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 10
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
    Kritisch · 9.8 CVE-2026-106446 >= 4.0.0, < 4.7.10 4.7.10
  2. Handlebars: JavaScript Injection via Own Property Check Bypass
    Kritisch CVE-2026-106445 >= 3.0.0, < 4.7.10 4.7.10
  3. Handlebars.js has a Property Access Validation Bypass in container.lookup dieser Eintrag
    Niedrig · 3.7 ghsa-442j-39wm-28r2 >= 4.0.0, < 4.7.9 4.7.9
  4. Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
    Hoch · 8.2 CVE-2026-33941 >= 4.0.0, < 4.7.9 4.7.9
  5. Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
    Hoch · 8.1 CVE-2026-33940 >= 4.0.0, < 4.7.9 4.7.9
  6. Handlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
    Hoch · 7.5 CVE-2026-33939 >= 4.0.0, < 4.7.9 4.7.9
  7. Handlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
    Hoch · 8.1 CVE-2026-33938 >= 4.0.0, < 4.7.9 4.7.9
  8. Handlebars.js has JavaScript Injection via AST Type Confusion
    Kritisch · 9.8 CVE-2026-33937 >= 4.0.0, < 4.7.9 4.7.9
  9. Prototype Pollution in handlebars
    Kritisch · 9.8 CVE-2021-23383 < 4.7.7 4.7.7
  10. Regular Expression Denial of Service in Handlebars
    Hoch · 7.5 CVE-2019-20922 >= 4.0.0, < 4.4.5 4.4.5
  11. Arbitrary Code Execution in Handlebars
    Hoch · 8.1 CVE-2019-20920 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  12. Remote code execution in handlebars when compiling templates
    Kritisch · 9.8 CVE-2021-23369 < 4.7.7 4.7.7
  13. Arbitrary Code Execution in handlebars
    Hoch ghsa-q2c6-c6pm-g3gh < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  14. Prototype Pollution in handlebars
    Hoch ghsa-g9r4-xpmj-mj65 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  15. Arbitrary Code Execution in handlebars
    Hoch · 7.3 ghsa-2cf5-4w76-r9qv < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2
  16. Prototype Pollution in handlebars
    Kritisch · 9.8 CVE-2019-19919 >= 4.0.0, < 4.3.0, < 3.0.8 4.3.0, 3.0.8
  17. Prototype Pollution in handlebars
    Hoch · 7.3 ghsa-q42p-pg8m-cqh6 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.14, < 3.0.7 4.1.2, 4.0.14, 3.0.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.