JVNDB-2026-009687

HandlebarsjsのHandlebarsにおける複数の脆弱性

Handlebarsは、ユーザーがセマンティックテンプレートを構築するために必要な機能を提供します。バージョン4.0.0から4.7.8までの間、Handlebars CLIのプリコンパイラ（`bin/handlebars` / `lib/precompiler.js`）は、テンプレートファイル名やいくつかのCLIオプションといったユーザーが制御可能な文字列を、エスケープやサニタイズなしにJavaScriptコードに直接連結して出力していました。テンプレートファイル名やCLI引数に影響を与えられる攻撃者は、生成されたバンドルがNode.jsやブラウザで読み込まれた際に実行される任意のJavaScriptを注入することが可能です。バージョン4.7.9でこの問題は修正されました。いくつかの回避策があります。まず、プリコンパイラを呼び出す前にすべてのCLI入力を検証し、JavaScriptの文字列エスケープに重要な意味を持つ文字（`"`、`'`、`;`など）を含むファイル名やオプション値は拒否してください。次に、自動化パイプラインではコマンドライン引数ではなく、構成ファイル経由で渡される固定かつ信頼できる名前空間文字列を使用してください。第三に、プリコンパイラをサンドボックス環境（書き込み権限のないコンテナなど）で実行し、成功した攻撃の影響を制限してください。第四に、自動ビルドパイプラインで利用されるリポジトリやパッケージ内のテンプレートファイル名を監査してください。

Handlebarsjs

• Handlebars 4.0.0 以上 4.7.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : JavaScript Injection in CLI Precompiler via Unescaped Names and Options  Advisory  handlebars-lang/handlebars.js  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. クロスサイトスクリプティング(CWE-79) [その他]
3. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-33941

1. National Vulnerability Database (NVD) : CVE-2026-33941
2. 関連文書 : Release v4.7.9  handlebars-lang/handlebars.js  GitHub
3. 関連文書 : Fix security issues  handlebars-lang/handlebars.js@68d8df5  GitHub

• [2026年04月02日]
    掲載