What is CVE-2026-71286?
CVE-2026-71286 is a critical vulnerability in the render-template component of the ember-dynamic-render-template addon, where the templateString property is passed directly to compileTemplate() without sanitization. This allows attackers to achieve arbitrary code execution through the Ember/Glimmer template compilation engine. Developers must immediately update the addon or apply strict input validation on template sources.
Azərbaycanca: CVE-2026-71286, ember-dynamic-render-template əlavəsinin render-template komponentində templateString dəyərinin heç bir təmizləmə və ya doğrulama olmadan compileTemplate() funksiyasına ötürülməsi nəticəsində yaranan kritik bir boşluqdur. Bu zəiflikdən istifadə edərək təcavüzkar Ember/Glimmer şablon mühərriki vasitəsilə ixtiyari kod icrası həyata keçirə bilər. Tərtibatçılar dərhal bu əlavəni yeniləməli və ya şablon mənbələrinə ciddi giriş nəzarəti tətbiq etməlidirlər.
Related CVEs
link basis: same weakness class CWE-94
FAQ1
How is CVE-2026-71286 exploited in the ember-dynamic-render-template addon?
An attacker can pass an unsanitized templateString value to the render-template component, leading to arbitrary code execution via the compileTemplate() function in the Ember/Glimmer engine.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.