Handlebars Misconfiguration: Prototypes Allowed

Protótipos são permitidos em um modelo Handlebars, abrindo a porta para vulnerabilidades de Prototype Pollution.

Os modelos Handlebars não podem acessar os protótipos de um objeto, pois tornam o aplicativo suscetível a ataques de Prototype Pollution.

Os ataques de Prototype Pollution ocorrem quando um usuário mal-intencionado pode controlar funções ou propriedades nos protótipos de objetos. Controlar os protótipos de um objeto que é passado para um modelo permite muitas vulnerabilidades, incluindo Dynamic Code Evaluation, Cross-Site Scripting e Remote Code Execution.

Exemplo 1: No exemplo a seguir da configuração de modelos Handlebars, os métodos de protótipo são permitidos por padrão, assim como a função especial __defineGetter__.

let template2 = Handlebars.compile('{{foo}}')
console.log(template2({ foo: argument }, {
    allowProtoMethodsByDefault: true,
    allowedProtoMethods: {
        __defineGetter__: true
    }
}))