JVNDB-2026-031096

hbs projectのhbsにおけるクロスサイトスクリプティングの脆弱性

hbsはHandlebarsをラップするExpressのビューエンジンです。そのregisterAsyncHelper APIはHandlebarsの自動HTMLエスケープをバイパスします。非同期ヘルパーは最初のレンダーパスで不透明なプレースホルダーを返すため、ダブルブレース式はプレースホルダーのみをエスケープし、レンダリング後にhbsはプレースホルダーをエスケープせずに生のコールバック返却値に置き換えます。この挙動はキャッシュされたパス、キャッシュされていないパス、およびレイアウトレンダリングパス全体にわたります。そのため、攻撃者は影響を受けるデータ（例：データベースからのユーザー提供コンテンツなど）を非同期ヘルパーコールバックに渡すアプリケーションにおいて、サーバーでレンダリングされたページ内に任意のHTMLおよびJavaScriptを注入可能であり、保存型または反射型のクロスサイトスクリプティング（XSS）が発生します。バージョン2.1.0から4.2.1までが影響を受けており、この問題は4.3.0で修正されていて、非同期ヘルパーの出力をHTMLエスケープするようになっています。非同期ヘルパーから意図的に生のHTMLを出力したいアプリケーションは、hbs.SafeStringを使用して明示的に選択可能です。ユーザーは4.3.0へアップグレードすべきです。

hbs project

• hbs 2.1.0 以上 4.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : hbs vulnerable to XSS via registerAsyncHelper output-escaping bypass  Advisory  pillarjs/hbs  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-16231

1. National Vulnerability Database (NVD) : CVE-2026-16231

• [2026年09月01日]
    掲載