CVE-2026-51153 in QD
Сводка
по VulDB • 31.08.2026
Stored Cross-Site Scripting (XSS) в TaskRunHandler.post() в web/handlers/task.py в QD 20220208 через 20250803. При запуске задачи через /task/<taskid>/run, обработчик отображает содержимое журнала задач (logtmp) в ответе HTML с использованием форматирования строк Python % без кодирования HTML. logtmp заполняется из объекта исключения или из new_env.variables.__log__, который контролируется злоумышленником через механизм template extract_variables. Атакующий с низким уровнем привилегий, но аутентифицированный, может создать специально созданный HAR-шаблон, который извлекает произвольный HTML/JavaScript в переменную __log__ через endpoint api://util/unicode. Когда жертва запускает задачу, встроенный скрипт выполняется в браузере жертвы в контексте приложения QD.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.