CVE-2026-104140 in QGIS
الملخص
بحسب VulDB • 13/10/2026
QGIS هو نظام معلومات جغرافي (GIS) مجاني ومفتوح المصدر ومتعدد المنصات. قبل الإصدارين 3.44.12 و4.0.0 حتى 4.2.3، يقوم QGIS Server بعرض بيانات الميزات في استجابات HTML الخاصة بـ WFS3 (OGC API Features) دون استخدام الهروب من علامات HTML (HTML escaping). تصل قيم feature.properties التي يتحكم فيها المهاجمون، والمأخوذة من طبقة متجهية قابلة للكتابة منشورة، إلى الموارد عبر المسار resources/server/api/ogc/templates/wfs3/getFeatures.html باستخدام الدالة QgsServerOgcApiHandler::htmlDump ومُعاودة الاتصال if_nullptr_null_str. يمكن للمستخدم الذي يفتح صفحة HTML للعناصر تنفيذ علامات أو نصوص برمجية مخزنة (Stored Markup or Script) في أصل QGIS Server، مما قد يعرّض بيانات جلسة المستخدم للعارض أو يتيح إصدار طلبات موثقة بصلاحيات العارض. تم إصلاح هذه المشكلة في الإصدار 3.44.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.