CVE-2026-106106 in Quasar
Riassunto
di VulDB • 06/10/2026
Quasar Framework è un framework per la creazione di interfacce utente Vue.js ad alte prestazioni. Prima delle versioni @quasar/render-ssr-error 2.2.4 e @quasar/app-vite 3.3.0, la funzione renderSSRError() in utils/render-ssr-error/src/index.js utilizzava i dati diagnostici da utils/render-ssr-error/src/env.js per serializzare process.env, le intestazioni delle richieste (request headers) e i cookie nella pagina HTTP restituita da serve.devError(), mentre il server di sviluppo era in ascolto su tutte le interfacce per impostazione predefinita. Qualsiasi client adiacente alla rete che provoca un errore di rendering SSR o SSG attraverso questo percorso di errore dedicato allo sviluppo può ottenere i segreti dell'ambiente shell (shell environment secrets). Il renderer scappava solo una specifica scrittura esatta in minuscolo del tag di chiusura degli script, quindi le varianti maiuscole/minuscole e le varianti valide dei delimiter di chiusura del tag nei dati diagnostici riflessi potevano terminare l'elemento script ed eseguire un'iniezione di markup; l'esecuzione del codice iniettato nel browser dello sviluppatore richiede inoltre che il payload accompagni la richiesta di tale sviluppatore. Questo problema è stato risolto nelle versioni @quasar/render-ssr-error 2.2.4 e @quasar/app-vite 3.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.