CVE-2026-51152 in QD
Résumé
par VulDB • 31/08/2026
Une vulnérabilité de falsification de requête côté serveur (SSRF) dans le point de terminaison /har/test de QD 20220208 à 20250803. La fonction Fetcher.build_request() dans libs/fetcher.py construit un httpclient.HTTPRequest à partir d'un JSON fourni par l'utilisateur sans valider le schéma URL, l'hôte ou la plage IP. Le gestionnaire /har/test ne nécessite pas d'authentification, permettant aux attaquants distants non authentifiés de forcer le serveur QD à envoyer des requêtes HTTP arbitraires vers des ressources du réseau interne et des points de terminaison de métadonnées cloud. validate_cert est défini sur False, désactivant la vérification TLS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.