SecBoard
Zurück zur CVE-Übersicht

CVE-2026-33937

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.9%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-33937 betrifft Handlebars.js, eine JavaScript-Template-Engine. Die Schwachstelle liegt in der Handlebars.compile()-Funktion, die bei der Verarbeitung eines speziell präparierten AST-Objekts die direkte Injektion und Ausführung von beliebigem JavaScript-Code ermöglicht. Dies kann zu () auf dem Server führen, wenn ein Angreifer ein manipuliertes AST-Objekt bereitstellen kann.

Mit einem CVSS-Score von 9.8 wird diese Schwachstelle als kritisch eingestuft. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 2%, was auf eine derzeit geringe, aber nicht zu vernachlässigende Exploit-Aktivität hindeutet. Die Schwachstelle ist derzeit nicht im KEV-Katalog gelistet, was bedeutet, dass sie (noch) nicht aktiv von staatlich unterstützten Akteuren ausgenutzt wird.

Security-Teams sollten umgehend auf Handlebars.js Version 4.7.9 aktualisieren, um das Problem zu beheben. Falls ein sofortiges Update nicht möglich ist, sollten als Workaround die Eingabetypen vor dem Aufruf von Handlebars.compile() validiert werden, um sicherzustellen, dass das Argument immer ein String ist. Alternativ kann die Handlebars Runtime-only-Version (handlebars/runtime) verwendet werden, wenn Templates zur Build-Zeit vorkompiliert werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Handlebars provides the power necessary to let users build semantic templates. In versions 4.0.0 through 4.7.8, `Handlebars.compile()` accepts a pre-parsed AST object in addition to a template string. The `value` field of a `NumberLiteral` AST node is emitted directly into the generated JavaScript without quoting or sanitization. An attacker who can supply a crafted AST to `compile()` can therefore inject and execute arbitrary JavaScript, leading to Remote Code Execution on the server. Version 4.7.9 fixes the issue. Some workarounds are available. Validate input type before calling `Handlebars.compile()`; ensure the argument is always a `string`, never a plain object or JSON-deserialized value. Use the Handlebars runtime-only build (`handlebars/runtime`) on the server if templates are pre-compiled at build time; `compile()` will be unavailable.

Betroffene Produkte

  • cpe:2.3:a:handlebarsjs:handlebars:*:*:*:*:*:node.js:*:*

Referenzen