CVE-2026-33938

Handlebars fornisce la potenza necessaria per consentire agli utenti di creare template semantici. Nelle versioni dalla 4.0.0 alla 4.7.8, la variabile speciale `@partial-block` viene memorizzata nel contesto dei dati del template ed è raggiungibile e mutabile all’interno di un template tramite helper che accettano oggetti arbitrari. Quando un helper sovrascrive `@partial-block` con un Handlebars AST appositamente creato, una successiva invocazione di `{{> @partial-block}}` compila ed esegue quell’AST, consentendo l’esecuzione arbitraria di JavaScript sul server. La versione 4.7.9 risolve il problema. Sono disponibili alcuni workaround. Innanzitutto, utilizzare la build solo runtime (`require('handlebars/runtime')`). Il metodo `compile()` è assente, eliminando il percorso di fallback vulnerabile. In secondo luogo, verificare gli helper registrati per individuare eventuali che scrivono valori arbitrari sugli oggetti di contesto. Gli helper dovrebbero trattare i dati di contesto come read-only. Terzo, evitare di registrare helper provenienti da pacchetti di terze parti (come `handlebars-helpers`) in contesti in cui i template o i dati di contesto possono essere influenzati da input non affidabili.