CVE-2026-51153 in QD
Zusammenfassung
von VulDB • 31.08.2026
Stored Cross-Site Scripting (XSS) in TaskRunHandler.post() in web/handlers/task.py in QD 20220208 through 20250803. Wenn eine Aufgabe über /task/<taskid>/run ausgeführt wird, rendert der Handler den Aufgaben-Loginhalt (logtmp) unter Verwendung von Python % String Formatierung ohne HTML-Encoding in die HTML-Antwort ein. logtmp wird aus dem Exception-Objekt oder aus new_env.variables.__log__ gefüllt, das über den Template extract_variables-Mechanismus vom Angreifer kontrolliert werden kann. Ein authentifizierter Angreifer mit niedrigen Berechtigungen kann eine manipulierte HAR-Vorlage erstellen, die beliebigen HTML/JavaScript-Inhalt in die __log_-Variable über den api://util/unicode-Endpunkt extrahiert. Wenn ein Opfer die Aufgaben-Ausführung auslöst, wird das eingebettete Skript im Browser des Opfers innerhalb des QD-Anwendungskontexts ausgeführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.