CVE-2026-106446

Handlebars, kullanıcıların anlamsal şablonlar oluşturmasına olanak tanıyan gerekli gücü sağlar. 4.0.0 ile 4.7.10 sürümleri arasında, Handlebars.compile() ve Handlebars.precompile(), yalnızca seçili PathExpression, NumberLiteral ve BooleanLiteral değerlerini doğrularken önceden ayrıştırılmış AST nesnelerini kabul eder. Bu sorun, CVE-2026-33937 için sürüm 4.7.9'da getirilen AST doğrulamasını atlatır. Şablon dizesi yerine bir nesne sağlayabilen bir saldırgan; Program.blockParams.length gibi kontrol edilmeyen değerlere, PathExpression olmayan bir parametre derinliğine, dize olmayan bir StringLiteral.value değerine veya dize olmayan bir PathExpression.original değerine JavaScript ifadeleri yerleştirebilir. Derleyici bu değerleri oluşturulan JavaScript içine aktararak, derleme çıktısı işlendiğinde veya ön derleme çıktısının yüklendiği herhangi bir yerde sunucu işleminde kod çalıştırılmasına neden olur. Yalnızca şablon dizileri ileten uygulamalar etkilenmez. Bu sorun 4.7.10 sürümünde düzeltilmiştir.