CVE-2026-33941— Handlebars.js 安全漏洞
一分钟漏洞结论
影响对象
handlebars-lang handlebars.js
利用判断
存在公开或 AI PoC，应优先验证
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Handlebars.js是The Handlebars Templating Language开源的一个JavaScript语义模板引擎。 Handlebars.js 4.7.8及之前版本存在安全漏洞，该漏洞源于Handlebars CLI预编译器对用户控制的字符串处理不当，可能导致攻击者注入任意JavaScript代码，在生成的包加载时执行。
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| handlebars-lang | handlebars.js | >= 4.0.0, < 4.7.9 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-33941 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Handlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
来源: CVE Program / CVE List V5
Vulnerability Description
Handlebars provides the power necessary to let users build semantic templates. In versions 4.0.0 through 4.7.8, the Handlebars CLI precompiler (`bin/handlebars` / `lib/precompiler.js`) concatenates user-controlled strings — template file names and several CLI options — directly into the JavaScript it emits, without any escaping or sanitization. An attacker who can influence template filenames or CLI arguments can inject arbitrary JavaScript that executes when the generated bundle is loaded in Node.js or a browser. Version 4.7.9 fixes the issue. Some workarounds are available. First, validate all CLI inputs before invoking the precompiler. Reject filenames and option values that contain characters with JavaScript string-escaping significance (`"`, `'`, `;`, etc.). Second, use a fixed, trusted namespace string passed via a configuration file rather than command-line arguments in automated pipelines. Third, run the precompiler in a sandboxed environment (container with no write access to sensitive paths) to limit the impact of successful exploitation. Fourth, audit template filenames in any repository or package that is consumed by an automated build pipeline.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
Vulnerability Title
Handlebars.js 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Handlebars.js是The Handlebars Templating Language开源的一个JavaScript语义模板引擎。 Handlebars.js 4.7.8及之前版本存在安全漏洞，该漏洞源于Handlebars CLI预编译器对用户控制的字符串处理不当，可能导致攻击者注入任意JavaScript代码，在生成的包加载时执行。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| handlebars-lang | handlebars.js | >= 4.0.0, < 4.7.9 | - |
|
二、漏洞 CVE-2026-33941 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
Qwen3.6-35B-A3B
· 5533 chars
Pro+ 专属包含：
漏洞复现靶场录像（真实沙箱构建 + 触发，独家）
漏洞原理深度分析
触发条件与影响面
完整可执行 POC 代码
利用链与缓解建议
POC 打包下载
每月 100+ 条 AI 生成额度
三、漏洞 CVE-2026-33941 的情报信息
请登录查看更多情报信息。
CVE-2026-33941 补丁与修复 (1)
-
Release v4.7.9 · handlebars-lang/handlebars.js · GitHub x_refsource_MISC
CVE-2026-33941 厂商安全公告 (1)
同批安全公告 · handlebars-lang · 2026-03-27 · 共 6 条
| CVE-2026-33937 | 9.8 CRITICAL | handlebars 安全漏洞 |
| CVE-2026-33938 | 8.1 HIGH | Handlebars.js 安全漏洞 |
| CVE-2026-33940 | 8.1 HIGH | handlebars 安全漏洞 |
| CVE-2026-33939 | 7.5 HIGH | handlebars 代码问题漏洞 |
| CVE-2026-33916 | 4.7 MEDIUM | handlebars 安全漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-33941
暂无评论