Linux Distros 未修补的漏洞：CVE-2026-33941
high Nessus 插件 ID 304160
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Handlebars 提供了让用户构建语义模板所需的强大功能。在之后的4.7.8版本4.0.0中，Handlebars CLI 预编译器（“bin/handlebars”/“lib/precompiler.js”）将用户控制的字符串模板文件名和多个 CLI 选项直接串联到它发出的 JavaScript 中，无需任何转义或审查。能够影响模板文件名或 CLI 参数的攻击者可注入任意 JavaScript，该 JavaScript 会在将生成的捆绑包加载到 Node.js 或浏览器中时执行。
版本 4.7.9 修复了该问题。但有一些变通方案。首先，在调用预编译器之前验证所有 CLI 输入。拒绝包含具有 JavaScript 字符串转义意义的字符（''、'''、';' 等）的文件名和选项值。其次，使用通过配置文件传递的固定的、受信任的命名空间字符串，而不是自动化管道中的命令行参数。第三，在沙盒环境（没有敏感路径写入权限的容器）中运行预编译器，以限制成功利用的影响。第四，审核自动生成管道使用的任何存储库或程序包中的模板文件名。（CVE-2026-33941）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
https://access.redhat.com/security/cve/cve-2026-33941
插件详情
严重性: High
ID: 304160
文件名: unpatched_CVE_2026_33941.nasl
版本: 1.11
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/3/28
最近更新时间: 2026/5/22
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: High
分数: 7.3
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.9
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2026-33941
CVSS v3
风险因素: High
基本分数: 8.2
时间分数: 7.8
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:U/RC:C
CVSS 分数来源: CVE-2026-33941
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:redhat:enterprise_linux:8, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, p-cpe:/a:centos:centos:thunderbird, p-cpe:/a:centos:centos:firefox, p-cpe:/a:centos:centos:389-ds-base, p-cpe:/a:centos:centos:389-ds-base-devel, p-cpe:/a:centos:centos:389-ds-base-libs, p-cpe:/a:centos:centos:389-ds-base-snmp, p-cpe:/a:redhat:enterprise_linux:firefox, p-cpe:/a:redhat:enterprise_linux:thunderbird, p-cpe:/a:redhat:enterprise_linux:389-ds-base, p-cpe:/a:redhat:enterprise_linux:389-ds-base-devel, p-cpe:/a:redhat:enterprise_linux:389-ds-base-libs, p-cpe:/a:redhat:enterprise_linux:389-ds-base-snmp, p-cpe:/a:redhat:enterprise_linux:389-ds-base-legacy-tools, p-cpe:/a:redhat:enterprise_linux:python3-lib389, cpe:/o:centos:centos:8, p-cpe:/a:centos:centos:389-ds-base-legacy-tools, p-cpe:/a:centos:centos:python3-lib389, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:redhat:enterprise_linux:9, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:redhat:enterprise_linux:firefox-x11, p-cpe:/a:redhat:enterprise_linux:cockpit-389-ds, p-cpe:/a:centos:centos:firefox-x11, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:debian:debian_linux:13.0, cpe:/o:redhat:enterprise_linux:10, p-cpe:/a:canonical:ubuntu_linux:node-handlebars, p-cpe:/a:centos:centos:cockpit-389-ds, cpe:/o:canonical:ubuntu_linux:25.10, p-cpe:/a:debian:debian_linux:node-handlebars
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2026/3/27
参考资料信息
CVE: CVE-2026-33941