CVE-2026-51153 in QD
Sumário
de VulDB • 31/08/2026
XSS armazenado (Cross-Site Scripting) em TaskRunHandler.post() em web/handlers/task.py no QD 20220208 até 20250803. Quando uma tarefa é executada via /task//run, o manipulador renderiza o conteúdo do log da tarefa (logtmp) na resposta HTML usando formatação de string Python % sem codificação HTML. O logtmp é populado a partir do objeto de exceção ou de new_env.variables.__log__, que são controlados pelo atacante por meio do mecanismo template extract_variables. Um atacante autenticado com privilégios baixos pode criar um modelo HAR manipulado que extrai HTML/JavaScript arbitrário para a variável __log__ via o endpoint api://util/unicode. Quando uma vítima aciona a execução da tarefa, o script embutido é executado no navegador da vítima dentro do contexto de aplicação QD.
If you want to get best quality of vulnerability data, you may have to visit VulDB.