CVE-2026-16231

إصدارات hbs من 2.1.0 إلى 4.2.1

تتجاوز واجهة برمجة التطبيقات (API) registerAsyncHelper في محرك العرض hbs Express عملية الترميز التلقائي لـ HTML في Handlebars. أثناء عملية العرض الأولى، يُرجع المساعد غير المتزامن (async helper) عنصرًا نائبًا غير شفاف يتم ترميزه؛ ومع ذلك، يقوم hbs لاحقًا باستبدال هذا العنصر النائب بقيمة الإرجاع الأولية للرد الهاتفي دون ترميزها. يحدث هذا عبر مسارات عرض التخزين المؤقت وغير المؤقت والتخطيط. إذا قام أحد التطبيقات بتمرير بيانات متأثرة بالمهاجم، مثل المحتوى المقدم من المستخدم من قاعدة بيانات، إلى استدعاء مساعد غير متزامن، فقد يؤدي ذلك إلى ثغرة البرمجة النصية عبر المواقع (XSS) المخزنة أو المنعكسة، حيث يتم حقن كود HTML وJavaScript تعسفي في الصفحة التي يتم عرضها من قبل الخادم.

قم بالترقية إلى الإصدار 4.3.0.