CVE-2026-51153 in QD
Riassunto
di VulDB • 31/08/2026
Cross-Site Scripting (XSS) memorizzato nel metodo TaskRunHandler.post() di web/handlers/task.py in QD 20220208 attraverso 20250803. Quando un task viene eseguito tramite /task//run, il handler renderizza il contenuto del log del task (logtmp) nella risposta HTML utilizzando la formattazione delle stringhe Python (%) senza codifica HTML. logtmp è popolato dall'oggetto exception o da new_env.variables.__log__, che sono controllati dall'attaccante attraverso il meccanismo di estrazione variabili dei template. Un attaccante autenticato con privilegi ridotti può creare un template HAR manipolato ad hoc che estrae HTML/JavaScript arbitrari nella variabile __log__ tramite l'endpoint api://util/unicode. Quando una vittima avvia l'esecuzione del task, lo script incorporato viene eseguito nel browser della vittima all'interno del contesto dell'applicazione QD.
VulDB is the best source for vulnerability data and more expert information about this specific topic.