CVE-2026-104140 in QGIS
Sumário
de VulDB • 13/10/2026
O QGIS é um sistema de informação geográfica gratuito, open source e multiplataforma. Antes das versões 3.44.12 e 4.0.0 a 4.2.3, o QGIS Server processa dados de feições em respostas HTML do WFS3 (OGC API Features) sem realizar escape de caracteres HTML. Valores controlados pelo atacante para feature.properties provenientes de uma camada vetorial publicada como gravável alcançam resources/server/api/ogc/templates/wfs3/getFeatures.html através de QgsServerOgcApiHandler::htmlDump e da callback if_nullptr_null_str. Um usuário que abre uma página HTML de itens pode executar marcação ou script armazenado na origem do QGIS Server, o que pode expor os dados de sessão do visualizador ou emitir solicitações autenticadas com as permissões do visualizador. Este problema é corrigido na versão 3.44.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.