JVNDB-2026-009688

HandlebarsjsのHandlebarsにおける複数の脆弱性

Handlebarsはユーザーがセマンティックテンプレートを作成するために必要な機能を提供します。バージョン4.0.0から4.7.8までにおいて、テンプレートコンテキストに細工されたオブジェクトが配置されると、`resolvePartial()`のすべての条件ガードをバイパスし、`invokePartial()`が`undefined`を返す原因となります。Handlebarsランタイムは未解決の部分テンプレートをコンパイルが必要なソースとして扱い、細工されたオブジェクトを`env.compile()`に渡します。このオブジェクトは挿入されたコードを含む有効なHandlebars ASTであるため、生成されたJavaScriptがサーバー上で任意のコマンドを実行します。この攻撃は攻撃者が動的部分テンプレートルックアップによって返される値を制御できることを前提としています。バージョン4.7.9でこの問題は修正されました。いくつかの回避策も存在します。第一に、ランタイム専用ビルド（`require('handlebars/runtime')`）を使用してください。`compile()`がなければ、`invokePartial`のフォールバックコンパイル経路は到達不能になります。第二に、レンダリング前にコンテキストデータをサニタイズしてください。つまり、コンテキスト内の値が動的部分テンプレートに渡される可能性のある非プリミティブオブジェクトでないことを確認してください。第三に、コンテキストデータがユーザー制御されている場合は動的部分テンプレートルックアップ（`{{ (lookup ...)}}`）の使用を避けてください。

Handlebarsjs

• Handlebars 4.0.0 以上 4.7.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : JavaScript Injection via AST Type Confusion by passing an object as dynamic partial  Advisory  handlebars-lang/handlebars.js  GitHub

1. 型の取り違え(CWE-843) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-33940

1. National Vulnerability Database (NVD) : CVE-2026-33940
2. 関連文書 : Release v4.7.9  handlebars-lang/handlebars.js  GitHub
3. 関連文書 : Fix security issues  handlebars-lang/handlebars.js@68d8df5  GitHub

• [2026年04月02日]
    掲載