CVE-2026-51153 in QD
Resumen
por VulDB • 2026-09-01
XSS almacenado (Cross-Site Scripting) en TaskRunHandler.post() en web/handlers/task.py de QD 20220208 hasta 20250803. Cuando se ejecuta una tarea a través de /task/<taskid>/run, el controlador renderiza el contenido del registro de la tarea (logtmp) en la respuesta HTML utilizando formateo de cadenas con % de Python sin codificación HTML. logtmp se llena desde el objeto de excepción o desde new_env.variables.__log__, que está bajo control del atacante a través del mecanismo extract_variables de las plantillas. Un atacante autenticado con privilegios bajos puede crear una plantilla HAR manipulada que extrae HTML/JavaScript arbitrario en la variable __log__ a través del endpoint api://util/unicode. Cuando un usuario víctima activa la ejecución de la tarea, el script incrustado se ejecuta en el navegador de la víctima dentro del contexto de la aplicación QD.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.