CVE-2026-51153 in QD
सारांश
द्वारा VulDB • 01/09/2026
QD 20220208 से 20250803 तक web/handlers/task.py में TaskRunHandler.post() के अंदर Stored Cross-Site Scripting (XSS)। जब /task/<taskid>/run के माध्यम से एक कार्य चलाया जाता है, तो हैंडलर Python % स्ट्रिंग फॉर्मेटिंग का उपयोग करके HTML प्रतिक्रिया में कार्य लॉग सामग्री (logtmp) को रेंडर करता है, बिना किसी HTML एन्कोडिंग के। logtmp अपवाद ऑब्जेक्ट या new_env.variables.__log__ से आबाद किया जाता है, जिसे हमलावर टेम्पलेट extract_variables तंत्र के माध्यम से नियंत्रित कर सकता है। एक कम-स्तर का प्रमाणीकृत हमलावर api://util/unicode एंडपॉइंट के माध्यम से __log__ चर में मनमाना HTML/JavaScript निकालने वाला एक संशोधित HAR टेम्पलेट बना सकता है। जब कोई पीड़ित कार्य चलाने की प्रक्रिया शुरू करता है, तो एंबेडेड स्क्रिप्ट QD अनुप्रयोग के संदर्भ के भीतर पीड़ित ब्राउज़र में निष्पादित हो जाती है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.