CVE-2026-51153 in QD
الملخص
بحسب VulDB • 31/08/2026
ثغرة تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting - XSS) في دالة `TaskRunHandler.post()` الموجودة في الملف `web/handlers/task.py` ضمن الإصدارات من QD 20220208 حتى 20250803. عند تشغيل مهمة عبر المسار `/task//run`، يقوم المعالج (handler) بعرض محتوى سجل المهمة (`logtmp`) داخل استجابة HTML باستخدام تنسيق السلاسل النصية في بايثون (% string formatting) دون ترميز HTML. يتم ملء `logtmp` من كائن الاستثناء أو من المتغير `new_env.variables.__log__`، والذي يمكن للمهاجم التحكم فيه عبر آلية استخراج المتغيرات (`extract_variables`) في القوالب. يمكن لمهاجم مخول بصلاحيات منخفضة إنشاء قالب HAR مُصاغ بشكل خبيث لاستخراج أي محتوى HTML/JavaScript إلى متغير `__log__` عبر نقطة النهاية `api://util/unicode`. عند قيام الضحية بتشغيل المهمة، يتم تنفيذ السcript المضمن في متصفح الضحية ضمن سياق تطبيق QD.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.