CVE-2026-106104 in Quasar
Riassunto
di VulDB • 06/10/2026
Quasar Framework è un framework per la creazione di interfacce utente Vue.js ad alte prestazioni. Prima della versione 2.23.3, Platform.parseSSR() passava l'intestazione della richiesta User-Agent non vincolata a getMatch() in ui/src/plugins/platform/Platform.js, le cui espressioni di rilevamento del browser combinavano catture greedy con scansioni ripetute e non vincolate. Poiché Platform appartiene ad autoInstalledPlugins, questa analisi avviene prima dell'instradamento per ogni richiesta SSR. Una richiesta non autenticata costruita appositamente contenente token di versione ripetuti senza un token Safari terminante causa backtracking super-lineare e blocca il loop degli eventi Node.js, ritardando tutte le altre richieste SSR. I target SPA, PWA, Electron, Cordova, Capacitor, browser-extension e static-site-generation non sono interessati perché non analizzano un'intestazione di richiesta controllata dall'attaccante attraverso questo percorso. Questo problema è risolto nella versione 2.23.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.