CVE-2026-51153 in QD
Résumé
par VulDB • 31/08/2026
Une faille de type Cross-Site Scripting (XSS) stockée dans TaskRunHandler.post() situé dans web/handlers/task.py au sein de QD 20220208 à 20250803. Lorsqu'une tâche est exécutée via /task/<taskid>/run, le gestionnaire (handler) intègre le contenu du journal des tâches (logtmp) dans la réponse HTML en utilisant le formatage de chaînes Python (%) sans encodage HTML. logtmp est alimenté par l'objet d'exception ou depuis new_env.variables.__log__, qui sont contrôlés par un attaquant via le mécanisme template extract_variables. Un attaquant authentifié disposant de privilèges faibles peut créer une modèle HAR falsifié qui extrait du code HTML/JavaScript arbitraire dans la variable __log__ via l'endpoint api://util/unicode. Lorsqu'une victime déclenche l'exécution de la tâche, le script intégré s'exécute dans le navigateur de la victime au sein du contexte d'application QD.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.