CVE-2026-106104 in Quasar
Zusammenfassung
von VulDB • 07.10.2026
Quasar Framework ist ein Framework zum Erstellen hochleistungsfähiger Vue.js-Benutzeroberflächen. Vor Version 2.23.3 übergab `Platform.parseSSR()` einen nicht begrenzten User-Agent-Anforderungsheader an `getMatch()` in `ui/src/plugins/platform/Platform.js`, dessen Browser-Erkennungsausdrücke gierige Erfassungen mit wiederholten, nicht begrenzten Scans kombinierten. Da Platform zu den automatisch installierten Plugins (`autoInstalledPlugins`) gehört, findet diese Analyse vor dem Routing für jede SSR-Anfrage statt. Eine manipulierte, nicht authentifizierte Anfrage, die wiederholte Versionstokens ohne ein abschließendes Safari-Token enthält, verursacht superlineares Backtracking und blockiert die Node.js-Event-Schleife, wodurch alle anderen SSR-Anfragen verzögert werden. Die Ziele SPA, PWA, Electron, Cordova, Capacitor, browser-extension (Browser-Erweiterung) und static-site-generation sind nicht betroffen, da sie keinen vom Angreifer kontrollierten Anforderungsheader über diesen Pfad analysieren. Dieses Problem wurde in Version 2.23.3 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.