يسمح Handlebars بتنفيذ التعليمات البرمجية عن بُعد (RCE) من خلال كائن شجرة الصياغة المجردة (AST) المصمم خصيصًا. تقبل الدالة `Handlebars.compile()` إما سلسلة قالب أو شجرة AST تم تحليلها مسبقًا. عند توفير شجرة AST، يتم إرسال الحقل `value` الخاص بعقدة `NumberLiteral` في شجرة AST مباشرةً إلى JavaScript الذي تم إنشاؤه دون تنقية مناسبة. وهذا يسمح للمهاجم الذي يمكنه تزويد `compile()` بكائن AST مُصمم خصيصًا بحقن وتنفيذ كود JavaScript تعسفي على الخادم. يقع مسار الكود المعرض للخطر في `lib/handlebars/compiler/javascript-compiler.js`، حيث تُلحق قيم `NumberLiteral` بالكود المُنشأ دون إجراء عملية الهروب. أي نقطة نهاية تقوم بإلغاء تسلسل JSON الذي يتحكم فيه المستخدم وتمرر النتيجة مباشرةً إلى `Handlebars.compile()` تكون عرضة للاستغلال. يمكن للمهاجم استغلال هذا لتنفيذ أوامر على الخادم، كما يتضح من إثبات المفهوم الذي يستخدم `process.getBuiltinModule(’child process‘).execFileSync(’id‘)` لتنفيذ الأمر ’id‘.