PT-2026-28566
CVE-2026-33916
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
4.7
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Handlebars من 4.0.0 إلى 4.7.8
الوصف
Handlebars هو محرك قوالب يتيح للمستخدمين إنشاء قوالب دلالية. تحتوي الإصدارات من 4.0.0 إلى 4.7.8 على ثغرة في الدالة
resolvePartial() داخل بيئة تشغيل Handlebars. تقوم هذه الدالة بحل الأسماء الجزئية باستخدام البحث عن الخاصية في options.partials دون منع اجتياز سلسلة النماذج الأولية. إذا كان Object.prototype ملوثًا بقيمة سلسلة تتطابق مع مرجع جزئي في قالب، يتم استخدام السلسلة الملوثة كنص جزئي ويتم عرضها دون هروب HTML، مما قد يؤدي إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS) المنعكسة أو المخزنة.التوصيات
قم بالتحديث إلى الإصدار 4.7.9 أو أحدث.
قم بتطبيق
Object.freeze(Object.prototype) في مرحلة مبكرة من بدء تشغيل التطبيق.استخدم إصدار Handlebars المخصص لبيئة التشغيل فقط (
handlebars/runtime).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾