CVE-2026-33937

CVE-2026-33937 — Handlebars.js AST 注入 RCE Handlebars.js 4.0.0 至 4.7.8 版本受影响。CVSS 评分：9.8 严重。 概述 CVE-2026-33937 是 Handlebars.js 中的一个类型混淆漏洞。Handlebars.compile 函数同时接受模板字符串和预解析的 AST 对象作为输入。当攻击者传入精心构造的 AST 对象时，编译器的 NumberLiteral 访问器会将节点的 value 字段原样插入到生成的 JavaScript 函数体中，且不做任何清理。对结果调用 render 会在 Node.js...