Handlebars.java: Arbitrary file read in `SpringTemplateLoader` via URL-fragment suffix bypass — GHSA-G29J-RWFV-H99W

GitHub · GitHub · GHSA-G29J-RWFV-H99W

ID
GHSA-G29J-RWFV-H99W

Datum
2026-09-02

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.5

EPSS
0.0047

Zusammenfassung

### Summary `com.github.jknack.handlebars.springmvc.SpringTemplateLoader` resolves Spring MVC view names into URLs via Spring's `ResourceLoader` **without applying the path-containment check** that protects every other URL-based loader in the project (`ClassPathTemplateLoader`, `FileTemplateLoader`, `ServletContextTemplateLoader` - all hardened by commit `d177cdee`). The only remaining defense for `file:` /…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.5 von 10.
Gemeldeter EPSS-Wert: 0.0047.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: maven: com.github.jknack:handlebars-springmvc.

Produkt

maven: com.github.jknack:handlebars-springmvc

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-G29J-RWFV-H99W
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-02
Letzte Quellenaktivität: 2026-09-02
Weitere Kennungen: CVE-2026-63490
Kuratiert von: hlukh.ch