自己報告されたバージョン番号によると、リモートサーバーの HandlebarsJS は、3.0.8 もしくは 4.5.3 より前の 4.x です。したがって、任意のコードが実行される脆弱性の影響を受ける可能性があり、攻撃者は、Handlebars テンプレートを処理するサーバー側や、被害者のブラウザで、任意の JavaScript を実行するテンプレートを送信する可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.0.8 より前の および 4.x4.5.3 より前の のハンドルバーは、任意のコード実行に対して脆弱です。Lookup Helper がテンプレートを適切に検証できないため、攻撃者が任意の JavaScript を実行するテンプレートを送信する可能性があります。これは、Handlebars テンプレートを処理するサーバー上で、または被害者のブラウザ上で任意のコードを実行するために利用される可能性があります (事実上 XSS として機能)。CVE-2019-20920

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020:  5179 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - nodejs-handlebars: 検索ヘルパーがテンプレートの適切な検証に失敗し、任意のJavaScriptが実行される可能性があります（CVE-2019-20920）

  - nodejs-handlebars: 特別に細工されたテンプレートの処理中に無限ループが発生すると、DoSが引き起こされます（CVE-2019-20922）

  - nodejs-lodash: zipObjectDeep関数のプロトタイプ汚染（CVE-2020-8203）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114096	HandlebarsJS 4.x < 4.5.3 の任意のコード実行	Web App Scanning	Component Vulnerability	2023/10/24	2023/10/25	high
114095	HandlebarsJS < 3.0.8 の任意のコード実行	Web App Scanning	Component Vulnerability	2023/10/24	2023/10/25	high
250924	Linux Distros のパッチ未適用の脆弱性: CVE-2019-20920	Nessus	Misc.	2025/8/18	2025/8/18	high
143235	RHEL 8: Red Hat Virtualization (RHSA-2020: 5179)	Nessus	Red Hat Local Security Checks	2020/11/24	2024/11/7	high

検出

プラグインの検索

high

high

high

high