CVE-2026-104140 in QGIS
요약
\~에 의해 VulDB • 2026. 10. 13.
QGIS는 무료이며 오픈 소스인 크로스 플랫폼 지리 정보 시스템입니다. 버전 3.44.12 이전 및 4.0.0부터 4.2.3까지의 QGIS Server는 WFS3(OGC API Features) HTML 응답에서 기능 데이터를 HTML 이스케이프 없이 렌더링합니다. 게시된 쓰기 가능한 벡터 레이어로부터 공격자가 제어할 수 있는 feature.properties 값이 QgsServerOgcApiHandler::htmlDump 및 if_nullptr_null_str 콜백을 통해 resources/server/api/ogc/templates/wfs3/getFeatures.html 리소스에 도달합니다. items HTML 페이지를 열면 사용자는 QGIS Server 원본에서 저장된 마크업이나 스크립트를 실행할 수 있으며, 이는 뷰어의 세션 데이터를 노출하거나 뷰자의 권한으로 인증된 요청을 수행할 수 있습니다. 이 문제는 버전 3.44.12에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.