CVE-2026-33939

إصدارات Handlebars من 4.0.0 إلى 4.7.8

قد تتسبب قوالب Handlebars التي تحتوي على صيغة زخرفة تشير إلى زخرفة غير مسجلة (على سبيل المثال، {{*n}}) في حدوث هجوم «رفض الخدمة» (Denial of Service). تستدعي القالب المُجمَّع lookupProperty(decorators, ”n“)، والتي تُرجع undefined. ثم يحاول وقت التشغيل استدعاء هذه القيمة undefined كدالة، مما يؤدي إلى ظهور خطأ TypeError: ... is not a function غير معالج، والذي يتسبب في تعطل عملية Node.js. التطبيقات التي تقوم بتجميع القوالب التي يقدمها المستخدمون دون معالجة الأخطاء تكون عرضة لهجوم «رفض الخدمة» من خلال طلب واحد. تشارك الدالة lookupProperty() في هذه العملية. يمكن للمهاجم إرسال قالب ضار مثل {{*n}} إلى نقطة نهاية تستدعي Handlebars.compile(userInput)()، مما يتسبب في تعطل عملية الخادم بشكل متكرر إذا أعاد مدير العمليات تشغيلها تلقائيًا.

الإصدارات السابقة للإصدار 4.7.9 معرضة لهذا الخطر.

قم بتضمين عمليات التحويل البرمجي والعرض في كتل try/catch.

تحقق من صحة مدخلات القوالب قبل التحويل البرمجي وارفض القوالب التي تحتوي على صيغة الزخرفة ({{*...}}) إذا لم يتم استخدام الزخارف.

استخدم سير عمل التحويل البرمجي المسبق عن طريق تحويل القوالب برمجياً في وقت الإنشاء وتقديم القوالب المُحوَّلة مسبقاً فقط؛ وتجنب استدعاء compile() في وقت الطلب.