CVE-2026-51153 in QD
要約
〜によって VulDB • 2026年08月31日
QD 20220208から20250803までのweb/handlers/task.pyにあるTaskRunHandler.post()における格納型クロスサイトスクリプティング（XSS）の脆弱性。/task//run経由でタスクが実行されると、ハンドラはPythonの%文字列フォーマットを使用してHTMLエンコードを行わずにタスクログコンテンツ(logtmp)をHTMLレスポンスにレンダリングします。logtmpは例外オブジェクトまたはnew_env.variables.__log__から設定され、これらはテンプレートextract_variablesメカニズムを通じて攻撃者が制御可能です。低権限の認証済み攻撃者はapi://util/unicodeエンドポイント経由で任意のHTML/JavaScriptを__log__変数に抽出する不正なHARテンプレートを作成できます。被害者がタスク実行をトリガーすると、埋め込まれたスクリプトがQDアプリケーションコンテキスト内で被害者のブラウザ上で実行されます。
Once again VulDB remains the best source for vulnerability data.