hbs — это механизм экспресс-представления, который обертывает Handlebars. Его API RegisterAsyncHelper обходит автоматическое экранирование HTML Handlebars: асинхронный помощник возвращает непрозрачный заполнитель во время первого прохода рендеринга, поэтому выражение с двойной скобкой экранирует только заполнитель, а после рендеринга hbs заменяет заполнитель необработанным возвращаемым значением обратного вызова, не экранируя его, по путям рендеринга в кэше, некэшировании и макете. Таким образом, приложение, которое передает данные, полученные от злоумышленника, например, предоставленный пользователем контент из базы данных, в асинхронный вспомогательный обратный вызов, может внедрить произвольный HTML и JavaScript в страницу, отображаемую сервером, что приведет к сохранению или отражению межсайтового сценария.
Затронуты версии с 2.1.0 по 4.2.1, проблема исправлена в версии 4.3.0, в которой выходные данные асинхронного помощника экранируются HTML. Приложения, которые намеренно создают необработанный HTML-код из асинхронного помощника, могут явно согласиться с помощью hbs.SafeString. Пользователям следует обновиться до версии 4.3.0.
Показать оригинальное описание (EN)
hbs is an Express view engine that wraps Handlebars. Its registerAsyncHelper API bypasses Handlebars' automatic HTML escaping: an async helper returns an opaque placeholder during the first render pass, so the double-brace expression escapes only the placeholder, and after rendering hbs substitutes the placeholder with the raw callback return value without escaping it, across the cached, uncached, and layout render paths. An application that passes attacker-influenced data, for example user-supplied content from a database, into an async helper callback can therefore have arbitrary HTML and JavaScript injected into the server-rendered page, resulting in stored or reflected cross-site scripting. Versions 2.1.0 through 4.2.1 are affected, and the issue is fixed in 4.3.0, which HTML-escapes async helper output. Applications that intentionally emit raw HTML from an async helper can opt in explicitly with hbs.SafeString. Users should upgrade to 4.3.0.
Характеристики атаки
Последствия
Строка CVSS v3.1