CVE-2026-51152 in QD
Riassunto
di VulDB • 01/09/2026
Forging di richieste lato server (SSRF) nell'endpoint /har/test in QD 20220208 attraverso 20250803. Fetcher.build_request() in libs/fetcher.py costruisce un httpclient.HTTPRequest a partire da JSON fornito dall'utente senza convalidare lo schema dell'URL, l'host o la gamma di IP. Il gestore /har/test non richiede autenticazione, consentendo ad attaccanti remoti non autenticati di forzare il server QD a inviare richieste HTTP arbitrarie alle risorse della rete interna e agli endpoint dei metadata del cloud. validate_cert è impostato su False, disabilitando la verifica TLS.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.