Anmelden
Deutsch English Español Polski
Mittel

Handlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry

  • Veröffentlicht: 29.03.2026
  • Aktualisiert: 11.10.2026 10:22

Summary

The prototype method blocklist in lib/handlebars/internal/proto-access.js blocks constructor, __defineGetter__, __defineSetter__, and __lookupGetter__, but omits the symmetric __lookupSetter__. This omission is only exploitable when the non-default runtime option allowProtoMethodsByDefault: true is explicitly set — in that configuration __lookupSetter__ becomes accessible while its counterparts remain blocked, creating an inconsistent security boundary.

4.6.0 is the version that introduced protoAccessControl and the allowProtoMethodsByDefault runtime option.

Description

In lib/handlebars/internal/proto-access.js:

js
const methodWhiteList = Object.create(null);
methodWhiteList['constructor']      = false;
methodWhiteList['__defineGetter__'] = false;
methodWhiteList['__defineSetter__'] = false;
methodWhiteList['__lookupGetter__'] = false;
// __lookupSetter__ intentionally blocked in CVE-2021-23383,
// but omitted here — creating an asymmetric blocklist

All four legacy accessor helpers (__defineGetter__, __defineSetter__, __lookupGetter__, __lookupSetter__) were involved in the exploit chain addressed by CVE-2021-23383. Three of the four were explicitly blocked; __lookupSetter__ was left out.

When allowProtoMethodsByDefault: true is set, any prototype method not present in methodWhiteList is permitted by default. Because __lookupSetter__ is absent from the list, it passes the checkWhiteList check and is accessible in templates, while __lookupGetter__ (its sibling) is correctly denied.

Workarounds

  • Do not set allowProtoMethodsByDefault: true. The default configuration is not affected.
  • If allowProtoMethodsByDefault must be enabled, ensure templates do not reference __lookupSetter__ through untrusted input.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket handlebars >= 4.6.0, < 4.7.9 4.7.9

Verweise

CVSS-Wert 4.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE)
CWE-1321
Plattform
npm
Paket
handlebars
Veröffentlicht
29.03.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7rx3-28cr-v5wh - CC BY 4.0

Schwachstellenhistorie: handlebars

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (22) im Archiv
Einträge insgesamt
22
Erste → letzte
10.2018 10.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 10
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
    Kritisch · 9.8 CVE-2026-106446 >= 4.0.0, < 4.7.10 4.7.10
  2. Handlebars: JavaScript Injection via Own Property Check Bypass
    Kritisch CVE-2026-106445 >= 3.0.0, < 4.7.10 4.7.10
  3. Handlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry dieser Eintrag
    Mittel · 4.8 ghsa-7rx3-28cr-v5wh >= 4.6.0, < 4.7.9 4.7.9
  4. Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
    Hoch · 8.2 CVE-2026-33941 >= 4.0.0, < 4.7.9 4.7.9
  5. Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
    Hoch · 8.1 CVE-2026-33940 >= 4.0.0, < 4.7.9 4.7.9
  6. Handlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
    Hoch · 7.5 CVE-2026-33939 >= 4.0.0, < 4.7.9 4.7.9
  7. Handlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
    Hoch · 8.1 CVE-2026-33938 >= 4.0.0, < 4.7.9 4.7.9
  8. Handlebars.js has JavaScript Injection via AST Type Confusion
    Kritisch · 9.8 CVE-2026-33937 >= 4.0.0, < 4.7.9 4.7.9
  9. Prototype Pollution in handlebars
    Kritisch · 9.8 CVE-2021-23383 < 4.7.7 4.7.7
  10. Regular Expression Denial of Service in Handlebars
    Hoch · 7.5 CVE-2019-20922 >= 4.0.0, < 4.4.5 4.4.5
  11. Arbitrary Code Execution in Handlebars
    Hoch · 8.1 CVE-2019-20920 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  12. Remote code execution in handlebars when compiling templates
    Kritisch · 9.8 CVE-2021-23369 < 4.7.7 4.7.7
  13. Arbitrary Code Execution in handlebars
    Hoch ghsa-q2c6-c6pm-g3gh < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  14. Prototype Pollution in handlebars
    Hoch ghsa-g9r4-xpmj-mj65 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  15. Arbitrary Code Execution in handlebars
    Hoch · 7.3 ghsa-2cf5-4w76-r9qv < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2
  16. Prototype Pollution in handlebars
    Kritisch · 9.8 CVE-2019-19919 >= 4.0.0, < 4.3.0, < 3.0.8 4.3.0, 3.0.8
  17. Prototype Pollution in handlebars
    Hoch · 7.3 ghsa-q42p-pg8m-cqh6 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.14, < 3.0.7 4.1.2, 4.0.14, 3.0.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.