PT-2020-10875 · Handlebars · Handlebars

Francois Lajeunesse-Robert · Publicado 2020-09-30 · Atualizado 2022-02-10 · CVE-2019-20920

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Handlebars anteriores à 3.0.8

Versões 4.x do Handlebars anteriores à 4.5.3

Descrição

A vulnerabilidade permite que invasores executem código JavaScript arbitrário ao enviar modelos que não são devidamente validados pelo auxiliar de pesquisa. Isso pode levar à execução de código arbitrário em um servidor que processa modelos do Handlebars ou no navegador da vítima, funcionando efetivamente como um ataque de script entre sites (XSS).

Recomendações

Para versões do Handlebars anteriores à 3.0.8, atualize para a versão 3.0.8 ou posterior.

Para versões do Handlebars 4.x anteriores à 4.5.3, atualize para a versão 4.5.3 ou posterior.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2019-20920

GHSA-3CQR-58RM-57F8

RHSA-2020:5179

SNYK-JS-HANDLEBARS-534478

Produtos afetados

Handlebars

Referências · 14

• 🔥 https://npmjs.com/advisories/1316 · Exploit
• https://github.com/handlebars-lang/handlebars.js/commit/156061eb7707575293613d7fdf90e2bdaac029ee · Nota
• https://github.com/handlebars-lang/handlebars.js/commit/d54137810a49939fd2ad01a91a34e182ece4528e · Nota
• https://snyk.io/vuln/SNYK-JS-HANDLEBARS-534478 · Nota
• https://cve.org/CVERecord?id=CVE-2019-20920 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2019-20920 · Aviso do Fabricante
• https://npmjs.com/advisories/1324 · Nota
• https://osv.dev/vulnerability/GHSA-3cqr-58rm-57f8 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2019-20920 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-20920 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-20920 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2019-20920 · Aviso do Fabricante
• https://npmjs.com/package/handlebars · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2019-20920 · Aviso do Fabricante