CVE-2026-45228 in quark-auto-save
要約
〜によって VulDB • 2026年05月13日
Quark Drive 0.8.5 より前には、System Configuration ページに格納型クロスサイトスクリプティング (XSS) 脆弱性が存在します。この脆弱性は、Vue.js の v-html ディレクティブを使用して push_config のキー名をエスケープせずにレンダリングすることに起因します。認証済み攻撃者は、POST /update エンドポイントを通じてキー名として HTML または JavaScript ペイロードを注入でき、これらはディスクに永続化されます。System Configuration タブにアクセスするすべての認証済みユーザーのブラウザでこれらのペイロードが実行されるため、セッションクッキーの盗み出しや、任意の認証済みアクションの実行が可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.