Descripción
Handlebars proporciona las capacidades necesarias para que los usuarios construyan plantillas semánticas. Desde la versión 3.0.0 hasta la 4.7.10, la función lookupProperty de Handlebars retorna Function.prototype.constructor antes de aplicar la lista de denegación de acceso a prototipos, debido a que constructor es una propiedad propia de Function.prototype. Cuando un atacante puede renderizar una plantilla controlada con allowProtoMethodsByDefault habilitado y una función accesible en el contexto de la plantilla, la plantilla puede recorrer desde esa función, a través de su prototipo, hasta Function.prototype y luego obtener el constructor Function mediante la omisión de la verificación de propiedades propias. Esto permite que código JavaScript controlado por el atacante se ejecute con los privilegios de la aplicación del servidor. El problema está corregido en la versión 4.7.10.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- handlebars.js Afectadas: >= 3.0.0, < 4.7.10
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/handlebars-lang/handlebars.js/security/advisories/GHSA-p8w…
- Referencia en github.comgithub.com/handlebars-lang/handlebars.js/pull/2185
- Referencia en github.comgithub.com/handlebars-lang/handlebars.js/commit/ceec388abe1d1aac8f636…
- Referencia en github.comgithub.com/handlebars-lang/handlebars.js/releases/tag/v4.7.10
Ver el texto original en inglés (CVE.org)
Handlebars: JavaScript Injection via Own Property Check Bypass
Handlebars provides the power necessary to let users build semantic templates. From 3.0.0 until 4.7.10, Handlebars lookupProperty returns Function.prototype.constructor before applying the prototype-access deny list because constructor is an own property of Function.prototype. When an attacker can render a controlled template with allowProtoMethodsByDefault enabled and an accessible function in the template context, the template can traverse from that function through its prototype to Function.prototype and then obtain the Function constructor through the own-property bypass. This permits attacker-controlled JavaScript to execute with the server application's privileges. This issue is fixed in version 4.7.10.