CVE-2026-51153 in QD
摘要
由 VulDB • 2026-08-31
在QD 20220208至20250803版本中，web/handlers/task.py中的TaskRunHandler.post()存在存储型跨站脚本攻击（Stored Cross-Site Scripting, XSS）。当通过/task//run运行任务时，处理器使用Python %字符串格式化将任务日志内容（logtmp）渲染到HTML响应中，且未进行HTML编码。logtmp的内容来源于异常对象或new_env.variables.__log__，后者可通过模板extract_variables机制被攻击者控制。低权限的已认证攻击者可以创建一个精心构造的HAR模板，通过api://util/unicode端点将任意HTML/JavaScript提取到__log__变量中。当受害者触发任务运行时，嵌入的脚本将在QD应用程序上下文中在受害者的浏览器内执行。
Be aware that VulDB is the high quality source for vulnerability data.