CVE-2026-33916 CVSS 4.7 中危

CVE-2026-33916 Handlebars 原型污染导致XSS漏洞

披露日期: 2026-03-27

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33916

漏洞类型

跨站脚本攻击 (XSS)

CVSS评分

4.7 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Handlebars.js

漏洞概述

Handlebars.js 在 4.0.0 至 4.7.8 版本中存在一个安全漏洞。该漏洞源于运行时的 `resolvePartial()` 函数在解析部分名称时，未对原型链遍历进行防护。攻击者可以通过污染 `Object.prototype`，将恶意字符串注入到模板渲染中。由于渲染过程中未进行 HTML 转义，这可能导致反射型或存储型跨站脚本攻击 (XSS)。该问题在 4.7.9 版本中已修复。

技术细节

该漏洞的核心在于原型污染。在 Handlebars 的模板渲染过程中，当调用 `resolvePartial()` 时，它会在 `options.partials` 上执行普通的属性查找。如果攻击者能够污染 `Object.prototype`（例如通过其他库的不安全合并操作），并在原型上设置一个与模板中部分引用同名的属性，那么 `resolvePartial()` 就会读取到这个被污染的值。由于 Handlebars 在渲染这个“部分”时没有进行 HTML 转义，如果该值包含恶意 JavaScript 代码，它将被直接插入到最终的 HTML 页面中并执行，从而导致 XSS 攻击。攻击者无需认证，但需要诱导用户交互（UI:R）来触发恶意渲染。

攻击链分析

STEP 1

步骤1：原型污染

攻击者利用应用中的其他漏洞（如不安全的递归合并）污染 JavaScript 的 Object.prototype，植入一个键名为模板部分引用、值为恶意脚本载荷的属性。

STEP 2

步骤2：模板解析

当服务器渲染 Handlebars 模板时，模板中引用了一个部分名称。Handlebars 的 resolvePartial() 函数在 options.partials 中查找该名称失败后，会向上遍历原型链。

STEP 3

步骤3：恶意内容注入

resolvePartial() 在 Object.prototype 中找到了攻击者预设的键名，并将其对应的字符串作为部分内容返回。由于渲染机制未对该内容进行 HTML 转义，恶意脚本被直接嵌入到生成的 HTML 页面中。

STEP 4

步骤4：执行攻击

受害用户访问包含该恶意内容的页面，浏览器解析 HTML 并执行其中的恶意脚本，导致 XSS 攻击成功（窃取 Cookie、会话劫持等）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// Simulate Prototype Pollution
// In a real attack, this might happen via a vulnerable library merging user input into Object.prototype
Object.prototype.pollutedPartial = '<img src=x onerror=alert(1)>';

const Handlebars = require('handlebars');

// The template tries to render a partial named 'pollutedPartial'
// Since it's not defined in local partials, but exists on the prototype, it gets picked up
const template = Handlebars.compile('{{> pollutedPartial}}');

// Execute template
const result = template({});
console.log(result); // Output will contain the unescaped img tag

影响范围

Handlebars.js 4.0.0 - 4.7.8

防御指南

临时缓解措施

在应用启动早期调用 `Object.freeze(Object.prototype)` 以防止原型污染。请注意，这可能会破坏其他依赖库的功能。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表