🇰🇷 한글 설명
Handlebars 4.0.0부터 4.7.10 버전까지의 Handlebars.precompile() 함수에서 HTML 스크립트 종료 시퀀스를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 공격자가 제어하는 템플릿을 사전 컴파일하여 인라인 스크립트 요소에 직접 삽입할 경우, 스크립트 태그를 강제로 종료시켜 악성 마크업을 실행할 수 있습니다.
💡 쉬운 설명
템플릿을 미리 만드는 과정에서 특수 문자를 제대로 처리하지 못해 발생하는 문제입니다. 공격자가 입력한 코드가 웹사이트의 보안 규칙을 깨고 실행되어 해킹을 시도할 수 있습니다.
🇺🇸 원문 (English)
Handlebars provides the power necessary to let users build semantic templates. From 4.0.0 until 4.7.10, Handlebars.precompile() uses quotedString() in lib/handlebars/compiler/code-gen.js to emit static template text into generated JavaScript without escaping sequences that terminate an enclosing HTML script element. When an application precompiles attacker-controlled template text and embeds the generated source directly in an inline script element, a closing script delimiter can end the element and cause following attacker-controlled markup to be parsed and executed. Ordinary server-side rendering and precompiled templates served as external JavaScript files are not affected. This issue is fixed in version 4.7.10.
📍 영향받는 시스템
Handlebars versions 4.0.0 to 4.7.10
⚔️ 공격 벡터
공격자가 제어하는 템플릿을 사전 컴파일하여 인라인 스크립트 태그 내에 삽입하는 방식
🛡️ 대응 방법
Handlebars 버전을 4.7.10 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.7.10 미만(4.0.0 ~ 4.7.9)인지 확인하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server