Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Handlebars は、ユーザーがセマンティック テンプレートを構築できるようにするために必要な機能を提供します。4.0.0 から 4.7.8 までのバージョンでは、Handlebars CLI プレコンパイラ(「bin/handlebars」/「lib/precompiler.js」)は、ユーザー制御文字列、テンプレートファイル名、およびいくつかの CLI オプションを、エスケープやサニタイズなしに、それが発する JavaScript に直接連結します。テンプレートのファイル名または CLI 引数に影響を与えることができる攻撃者が、生成されたバンドルが Node.js またはブラウザにロードされたときに実行される任意の JavaScript を注入する可能性があります。
    バージョン 4.7.9 ではこの問題が修正されています。いくつかの回避策が利用可能です。まず、プリコンパイラを呼び出す前に、すべてのCLI入力を検証します。JavaScript 文字列エスケープが重要な文字(「'」、「''、;」など)を含むファイル名とオプション値を拒否します。次に、自動パイプラインのコマンドライン引数ではなく、構成ファイルを介して渡される固定された信頼できる名前空間文字列を使用します。3 つ目は、悪用が成功した場合の影響を制限するために、サンドボックス環境 (機密パスへの書き込みアクセスがないコンテナ) でプレコンパイラを実行します。4 つ目は、自動ビルドパイプラインによって使用されるリポジトリまたはパッケージのテンプレートファイル名を監査することです。(CVE-2026-33941)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33941

high Nessus プラグイン ID 304160

バージョン 1.12