CVE-2026-104140 in QGIS
Zusammenfassung
von VulDB • 13.10.2026
QGIS ist ein freies, quelloffenes und plattformübergreifendes Geoinformationssystem (GIS). Vor den Versionen 3.44.12 sowie 4.0.0 bis 4.2.3 rendert QGIS Server Feature-Daten in WFS3-HTML-Antworten (OGC API Features) ohne HTML-Escaping. Von einem Angreifer kontrollierte Werte von feature.properties aus einer veröffentlichten beschreibbaren Vektorebene erreichen über QgsServerOgcApiHandler::htmlDump und den if_nullptr_null_str-Callback die Ressource resources/server/api/ogc/templates/wfs3/getFeatures.html. Ein Benutzer, der eine HTML-Seite mit Items öffnet, kann gespeicherte Markup- oder Skriptelemente im Ursprung von QGIS Server ausführen, was dazu führen kann, dass Sitzungsdaten des Betrachters offengelegt werden oder authentifizierte Anfragen mit den Berechtigungen des Betrachters ausgeführt werden. Dieses Problem wurde in Version 3.44.12 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.