JVNDB-2026-009689

HandlebarsjsのHandlebarsにおける例外的な状態のチェックに関する脆弱性

Handlebarsはユーザーがセマンティックテンプレートを構築するために必要な機能を提供します。バージョン4.0.0から4.7.8までの間、Handlebarsテンプレートに未登録のデコレーター（例：`{{*n}}`）を参照するデコレーター構文が含まれている場合、コンパイルされたテンプレートは`lookupProperty(decorators, "n")`を呼び出し、これは`undefined`を返します。ランタイムはその結果を即座に関数として呼び出そうとし、ハンドルされていない`TypeError: ... is not a function`が発生してNode.jsプロセスがクラッシュします。`try/catch`で呼び出しをラップせずにユーザー提供のテンプレートをコンパイルするすべてのアプリケーションは、単一リクエストによるサービス拒否攻撃に対して脆弱です。バージョン4.7.9でこの問題は修正されました。いくつかの回避策があります。コンパイルとレンダリングを`try/catch`でラップしてください。テンプレートを`compile()`に渡す前に入力を検証し、デコレーターを使用していない場合にはデコレーター構文（`{{*...}}`）を含むテンプレートを拒否してください。プリコンパイルのワークフローを使用し、ビルド時にテンプレートをコンパイルしてプリコンパイル済みテンプレートのみを提供し、リクエスト時に`compile()`を呼び出さないことが推奨されます。

Handlebarsjs

• Handlebars 4.0.0 以上 4.7.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of Service via Malformed Decorator Syntax in Template Compilation  Advisory  handlebars-lang/handlebars.js  GitHub

1. 例外的な状態における不適切なチェック(CWE-754) [その他]

1. CVE-2026-33939

1. National Vulnerability Database (NVD) : CVE-2026-33939
2. 関連文書 : Release v4.7.9  handlebars-lang/handlebars.js  GitHub
3. 関連文書 : Fix security issues  handlebars-lang/handlebars.js@68d8df5  GitHub

• [2026年04月02日]
    掲載