CVE-2026-106446

CVE-2026-106446 betrifft Handlebars-Versionen von 4.0.0 bis 4.7.10. Die Schwachstelle ermöglicht die Umgehung der AST-Validierung in den Funktionen Handlebars.compile() und Handlebars.precompile(), wenn ein Angreifer ein Objekt anstelle eines Template-Strings bereitstellen kann. Dies kann zur Ausführung von beliebigem Code im Serverprozess führen, wenn die kompilierte Ausgabe gerendert oder die vorkompilierte Ausgabe geladen wird. Anwendungen, die ausschließlich Template-Strings übergeben, sind nicht betroffen. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 1%, was auf eine derzeit geringe, aber nicht zu vernachlässigende Exploit-Aktivität hindeutet. Sie ist derzeit nicht im CISA KEV-Katalog gelistet, was bedeutet, dass keine aktive, bestätigte Ausnutzung durch staatliche Akteure bekannt ist. Security-Teams sollten umgehend prüfen, ob Handlebars in den betroffenen Versionen eingesetzt wird. Eine Priorisierung des Patchings auf Version 4.7.10 ist dringend empfohlen, insbesondere wenn die Anwendung Objekte als Template-Eingabe akzeptiert. Zusätzliches Monitoring auf ungewöhnliche Prozessaktivitäten kann als temporäre Mitigation dienen.