Podatności Handlebars

Pakiet handlebars w wersji przed 4.0.0 dla Node.js pozwala zdalnym atakującym na przeprowadzanie ataków cross-site scripting (XSS) poprzez wykorzystanie szablonu z atrybutem, który nie jest ujęty w cudzysłów.

Handlebars od wersji 4.0.0 do 4.7.10 akceptuje wstępnie sparsowane obiekty AST w metodach compile() i precompile(), walidując tylko wybrane wartości. Atakujący, który może dostarczyć obiekt zamiast stringa szablonu, może umieścić wyrażenia JavaScript w niesprawdzanych wartościach, co prowadzi do wykonania kodu na serwerze. Aplikacje przekazujące tylko stringi szablonów nie są zagrożone. Problem naprawiono w wersji 4.7.10.

Handlebars w wersjach od 3.0.0 do 4.7.10 zawiera podatność polegającą na tym, że funkcja lookupProperty zwraca Function.prototype.constructor przed zastosowaniem listy zabronionych właściwości prototype. Pozwala to osobie atakującej, która może renderować kontrolowany szablon z włączonym allowProtoMethodsByDefault, na dostęp do konstruktora Function przez obejście, co umożliwia wykonanie dowolnego kodu JavaScript z uprawnieniami aplikacji serwera.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie złośliwego kodu JavaScript do wygenerowanego skryptu. Problem wynika z braku sanityzacji wartości w węźle AST `NumberLiteral` podczas kompilacji szablonów. Atakujący może dostarczyć spreparowany obiekt AST do funkcji `Handlebars.compile()`, co prowadzi do wykonania dowolnego kodu na serwerze.

Pakiet handlebars przed wersją 4.7.7 jest podatny na Prototype Pollution, gdy wybiera się określone opcje kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

Pakiet handlebars przed wersją 4.7.7 jest podatny na zdalne wykonanie kodu (RCE) przy wyborze pewnych opcji kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

Wersje handlebars przed 4.3.0 są podatne na zanieczyszczenie prototypu (Prototype Pollution), które może prowadzić do zdalnego wykonania kodu. Szablony mogą modyfikować właściwości __proto__ i __defineGetter__ obiektu, co może pozwolić atakującemu na wykonanie dowolnego kodu poprzez spreparowane payloady.

W Handlebars od wersji 4.0.0 do 4.7.10 funkcja Handlebars.precompile() używa quotedString() do emitowania statycznego tekstu szablonu do generowanego JavaScriptu bez escapowania sekwencji kończących element script. Gdy aplikacja prekompiluje tekst kontrolowany przez atakującego i osadza wynik w elemencie inline script, atakujący może zamknąć element i wykonać własny kod.

Podatność w Handlebars CLI precompiler (wersje 4.0.0 do 4.7.8) pozwala na wstrzyknięcie kodu JavaScript poprzez niesanitowane nazwy plików szablonów i argumenty CLI. Atakujący może wykorzystać to do wykonania dowolnego kodu w środowisku Node.js lub przeglądarce podczas ładowania wygenerowanego pakietu.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala atakującemu na zdalne wykonanie kodu na serwerze poprzez wstrzyknięcie spreparowanego obiektu do kontekstu szablonu. Obiekt ten omija zabezpieczenia w funkcji `resolvePartial()` i powoduje skompilowanie złośliwego kodu JavaScript przez `env.compile()`. Problem został naprawiony w wersji 4.7.9.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) powoduje awarię procesu Node.js podczas przetwarzania szablonu z niezarejestrowanym dekoratorem. Błąd typu TypeError występuje, gdy runtime próbuje wywołać niezdefiniowaną wartość jako funkcję.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala na zdalne wykonanie kodu JavaScript na serwerze. Specjalna zmienna `@partial-block` jest przechowywana w kontekście danych szablonu i może być nadpisana przez helpery akceptujące dowolne obiekty. Gdy helper nadpisze `@partial-block` spreparowanym AST Handlebars, kolejne wywołanie `{{> @partial-block}}` kompiluje i wykonuje to AST, umożliwiając atakującemu wykonanie dowolnego kodu.

Handlebars w wersjach 4.0.0 do 4.7.8 zawiera błąd w funkcji resolvePartial(), która rozwiązuje nazwy partiali poprzez zwykłe wyszukiwanie właściwości w options.partials bez ochrony przed przechodzeniem po łańcuchu prototypów. Gdy Object.prototype zostanie zanieczyszczony ciągiem znaków pasującym do referencji partiala, zanieczyszczony ciąg jest używany jako treść partiala i renderowany bez escapowania HTML, co prowadzi do XSS. Wersja 4.7.9 naprawia problem.

Handlebars w wersjach przed 3.0.8 oraz 4.x przed 4.5.3 jest podatny na wykonanie dowolnego kodu. Helper 'lookup' nieprawidłowo waliduje szablony, co pozwala atakującym na przesłanie szablonów wykonujących dowolny JavaScript. Może to służyć do uruchomienia dowolnego kodu na serwerze przetwarzającym szablony Handlebars lub w przeglądarce ofiary (efektywnie XSS).