Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Handlebars は、ユーザーがセマンティックテンプレートを構築するために必要な能力を提供します。バージョン 4.0.0 から 4.7.8では、Handlebars CLI プリコンパイラ「bin/handlebars」/「lib/precompiler.js」は、ユーザーが制御する文字列テンプレートファイル名といくつかの CLI オプションを、エスケープまたは発見しました。テンプレートファイル名またはCLI引数に影響を与える可能性のある攻撃者が、生成されたバンドルがNode.jsまたはブラウザでロードされたときに実行する任意のJavaScriptを挿入する可能性があります。
    バージョン 4.7.9 ではこの問題が修正されています。いくつかの回避策が利用可能です。まず、プリコンパイラを呼び出す前に、すべての CLI 入力を検証します。JavaScript 文字列エスケープ重要度を持つ文字を含むファイル名とオプション値を拒否します「、」、「;」など。次に、自動化されたパイプラインのコマンドライン引数ではなく、構成ファイル経由で渡される修正済みの信頼できる名前空間文字列を使用します。3 つ目の方法は、サンドボックス環境 (機密パスに対する書き込みアクセス権のないコンテナ) でプリコンパイラを実行し、悪用に成功した場合の影響を制限することです。4 番目に、自動ビルドパイプラインによって使用されるリポジトリまたはパッケージのテンプレートファイル名を監査します。CVE-2026-33941

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33941

high Nessus プラグイン ID 304160

バージョン 1.3