CVE-2026-106109 in app-vite
Riassunto
di VulDB • 06/10/2026
Quasar Framework è un framework per la creazione di interfacce utente ad alte prestazioni basate su Vue.js. Dalla versione 1.0.0 alla 3.3.0, @quasar/app-vite rimuoveva ricorsivamente il build.distDir risolto prima della compilazione senza rifiutare l'root del progetto, la home directory dell'utente, le root del filesystem o le directory esterne risolte tramite symlink. Una configurazione di fiducia non sicura può eliminare dati scrivibili dall'utente di build prima che inizi la compilazione. Per impostazione predefinita, nessun input controllato da un attaccante raggiunge il build.distDir; pertanto, lo sfruttamento richiede l'utilizzo di automazioni compromesse o meno fidate per influenzare la configurazione della build, oppure un sviluppatore deve eseguire una configurazione errata. Questo problema è stato risolto nella versione 3.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.