CVE-2026-87123

Nome do Software Vulnerável e Versões Afetadas hbs versão 4.3.0

Description Existe um problema no wrapper do mecanismo de visualização Express para Handlebars onde o processo Node.js pode travar durante a filtragem de saída. Isso ocorre quando um helper assíncrono, registrado via registerAsyncHelper(), resolve para um objeto com uma propriedade toHTML que é verdadeira (truthy), mas não chamável. A função escapeExpression() tenta chamar toHTML como um método, resultando em um TypeError. Como a substituição assíncrona é executada em um tick posterior, fora do bloco try/catch da função de renderização, o erro torna-se uma exceção não capturada que encerra o processo sem enviar uma resposta. Isso pode ser acionado remotamente se um helper assíncrono resolver para um objeto influenciado externamente, como um JSON analisado.

Recommendations Atualize o hbs para a versão 4.3.1 ou posterior.