Handlebars.js: JavaScript-Injection durch Umgehung der Prototyp-Konstruktorprüfung

Zusammenfassung

Handlebars.js, eine JavaScript-Template-Bibliothek, erlaubt es einem Template, durch eine Umgehung der Eigenschaftsprüfung für 'constructor' den Function-Konstruktor zu erreichen. Wenn eine Anwendung vom Angreifer kontrollierte Templates mit aktiviertem allowProtoMethodsByDefault rendert und im Template-Kontext eine zugängliche Funktion vorhanden ist, kann ein Angreifer beliebiges JavaScript mit den Rechten der Serveranwendung ausführen. Ein öffentlicher Proof of Concept existiert.

Betroffen

• handlebars (npm) ab 3.0.0 bis vor 4.7.10 gemäss CVE-Eintrag
• Einige Drittanbieter-Datenbanken nennen 4.0.0 als Startversion; gegen den NVD-Eintrag prüfen

Behoben in

• Auf handlebars 4.7.10 oder neuer aktualisieren

Umgehung

• allowProtoMethodsByDefault deaktiviert lassen (Standardeinstellung)
• Nicht zulassen, dass nicht vertrauenswürdige Benutzer Templates liefern, die auf dem Server kompiliert werden
• Der Hersteller-Advisory nennt keine weiteren Workarounds

Ausnutzung

• Öffentlicher Proof of Concept: ja (Drittanbieter-Repository)
• CISA SSVC: Exploitation 'poc', automatisierbar ja, technische Auswirkung total
• Kein Bericht über Ausnutzung in freier Wildbahn gefunden; CISA-KEV-Status nicht geprüft

Unsere Empfehlung

• Node.js-Anwendungen und Lockfiles auf handlebars-Versionen 3.0.0 bis 4.7.9 prüfen, einschliesslich transitiver Abhängigkeiten
• Auf 4.7.10 oder neuer aktualisieren und auf Regressionen testen
• Prüfen, ob allowProtoMethodsByDefault deaktiviert ist und kein nicht vertrauenswürdiger Input compile() erreicht
• Bei Herstellern von Anwendungen mit kundenseitig editierbaren Templates nach dem Fix-Termin fragen
• Zusätzlich den Fix für die verwandte CVE-2026-106446 einspielen, die im selben Release behoben ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-106445

Quellen der Recherche

• GitHub Security Advisory GHSA-p8wg-vrv2-v86f github.com
• Release v4.7.10 github.com
• Fix commit ceec388 github.com
• Pull Request #2185 github.com
• OSV record CVE-2026-106445 osv.dev
• GitLab advisory CVE-2026-106445 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:51.