CVE-2026-104140 in QGIS
Resumen
por VulDB • 2026-10-13
QGIS es un sistema de información geográfica gratuito, de código abierto y multiplataforma. Antes de las versiones 3.44.12 y 4.0.0 a 4.2.3, QGIS Server renderiza datos de características en respuestas HTML de WFS3 (OGC API Features) sin realizar el escape correspondiente del contenido HTML. Los valores controlados por un atacante de feature.properties procedentes de una capa vectorial publicada como editable llegan a resources/server/api/ogc/templates/wfs3/getFeatures.html a través de QgsServerOgcApiHandler::htmlDump y la callback if_nullptr_null_str. Un usuario que abre una página HTML de elementos puede ejecutar marcado o script almacenado en el origen del QGIS Server, lo cual podría exponer los datos de sesión del visualizador o emitir solicitudes autenticadas con los privilegios del mismo. Este problema se corrige en la versión 3.44.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.