Zaloguj się
Deutsch English Español Polski
Niska

Handlebars.js has a Property Access Validation Bypass in container.lookup

  • Ujawniono: 29.03.2026
  • Aktualizacja: 11.10.2026 10:22

Summary

In lib/handlebars/runtime.js, the container.lookup() function uses container.lookupProperty() as a gate check to enforce prototype-access controls, but then discards the validated result and performs a second, unguarded property access (depths[i][name]). This Time-of-Check Time-of-Use (TOCTOU) pattern means the security check and the actual read are decoupled, and the raw access bypasses any sanitization that lookupProperty may perform.

Only relevant when the compat compile option is enabled ({compat: true}), which activates depthedLookup in lib/handlebars/compiler/javascript-compiler.js.

Description

The vulnerable code in lib/handlebars/runtime.js (lines 137–144):

js
lookup: function (depths, name) {
  const len = depths.length;
  for (let i = 0; i < len; i++) {
    let result = depths[i] && container.lookupProperty(depths[i], name);
    if (result != null) {
      return depths[i][name];  // BUG: should be `return result;`
    }
  }
},

container.lookupProperty() (lines 119–136) enforces hasOwnProperty checks and resultIsAllowed() prototype-access controls. However, container.lookup() only uses lookupProperty as a boolean gate — if the gate passes (result != null), it then performs an independent, raw depths[i][name] access that circumvents any transformation or wrapped value that lookupProperty may have returned.

Workarounds

  • Avoid enabling { compat: true } when rendering templates that include untrusted data.
  • Ensure context data objects are plain JSON (no Proxies, no getter-based accessor properties).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm handlebars >= 4.0.0, < 4.7.9 4.7.9

Odnośniki

Ocena CVSS 3.7/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-367
Platforma
npm
Paczka
handlebars
Ujawniono
29.03.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-442j-39wm-28r2 - CC BY 4.0

Historia podatności: handlebars

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (22) w archiwum
Wszystkich wpisów
22
Pierwsza → ostatnia
10.2018 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 10
  • Średnia 5
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
    Krytyczna · 9.8 CVE-2026-106446 >= 4.0.0, < 4.7.10 4.7.10
  2. Handlebars: JavaScript Injection via Own Property Check Bypass
    Krytyczna CVE-2026-106445 >= 3.0.0, < 4.7.10 4.7.10
  3. Handlebars.js has a Property Access Validation Bypass in container.lookup ten wpis
    Niska · 3.7 ghsa-442j-39wm-28r2 >= 4.0.0, < 4.7.9 4.7.9
  4. Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
    Wysoka · 8.2 CVE-2026-33941 >= 4.0.0, < 4.7.9 4.7.9
  5. Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
    Wysoka · 8.1 CVE-2026-33940 >= 4.0.0, < 4.7.9 4.7.9
  6. Handlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
    Wysoka · 7.5 CVE-2026-33939 >= 4.0.0, < 4.7.9 4.7.9
  7. Handlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
    Wysoka · 8.1 CVE-2026-33938 >= 4.0.0, < 4.7.9 4.7.9
  8. Handlebars.js has JavaScript Injection via AST Type Confusion
    Krytyczna · 9.8 CVE-2026-33937 >= 4.0.0, < 4.7.9 4.7.9
  9. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2021-23383 < 4.7.7 4.7.7
  10. Regular Expression Denial of Service in Handlebars
    Wysoka · 7.5 CVE-2019-20922 >= 4.0.0, < 4.4.5 4.4.5
  11. Arbitrary Code Execution in Handlebars
    Wysoka · 8.1 CVE-2019-20920 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  12. Remote code execution in handlebars when compiling templates
    Krytyczna · 9.8 CVE-2021-23369 < 4.7.7 4.7.7
  13. Arbitrary Code Execution in handlebars
    Wysoka ghsa-q2c6-c6pm-g3gh < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  14. Prototype Pollution in handlebars
    Wysoka ghsa-g9r4-xpmj-mj65 < 3.0.8, >= 4.0.0, < 4.5.3 3.0.8, 4.5.3
  15. Arbitrary Code Execution in handlebars
    Wysoka · 7.3 ghsa-2cf5-4w76-r9qv < 3.0.8, >= 4.0.0, < 4.5.2 3.0.8, 4.5.2
  16. Prototype Pollution in handlebars
    Krytyczna · 9.8 CVE-2019-19919 >= 4.0.0, < 4.3.0, < 3.0.8 4.3.0, 3.0.8
  17. Prototype Pollution in handlebars
    Wysoka · 7.3 ghsa-q42p-pg8m-cqh6 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.14, < 3.0.7 4.1.2, 4.0.14, 3.0.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.