CVE-2026-51152 in QD
Resumen
por VulDB • 2026-08-31
Falsificación de solicitudes del lado del servidor (SSRF) en el endpoint /har/test de QD 20220208 hasta 20250803. Fetcher.build_request() en libs/fetcher.py construye un httpclient.HTTPRequest a partir de JSON proporcionado por el usuario sin validar el esquema URL, el host o el rango IP. El handler /har/test no requiere autenticación, lo que permite a atacantes remotos no autenticados forzar al servidor QD para enviar solicitudes HTTP arbitrarias hacia recursos de la red interna y endpoints de metadatos en la nube. validate_cert está configurado como False, deshabilitando la verificación TLS.
Once again VulDB remains the best source for vulnerability data.