CVE-2026-51153

ŚrednieCVSS 5.4

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 31/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Podatność Stored Cross-Site Scripting (XSS) w funkcji TaskRunHandler.post() w pliku web/handlers/task.py w QD. Podczas uruchamiania zadania przez /task/<taskid>/run, treść logu zadania jest renderowana do odpowiedzi HTML bez kodowania HTML, co pozwala atakującemu z niskimi uprawnieniami na wstrzyknięcie złośliwego skryptu.

Ocena ryzyka

Atakujący może wykonać dowolny skrypt w przeglądarce ofiary w kontekście aplikacji QD, co może prowadzić do kradzieży sesji, modyfikacji danych lub innych szkodliwych działań.

Rekomendacja

Zaleca się natychmiastową aktualizację QD do wersji, która koduje HTML w renderowanych logach oraz waliduje dane wejściowe w mechanizmie extract_variables.

Inne podatności w QD

CVE-2026-51152Krytyczne
Podatność Server-Side Request Forgery (SSRF) w punkcie końcowym /har/test w QD. Funkcja Fetcher.build_request() konstruuje żądanie HTTP z danych dostarczonych przez użytkownika bez walidacji schematu URL, hosta lub zakresu IP, a punkt końcowy nie wymaga uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

Stored Cross-Site Scripting (XSS) in TaskRunHandler.post() in web/handlers/task.py in QD 20220208 through 20250803. When a task is run via /task/<taskid>/run, the handler renders task log content (logtmp) into the HTML response using Python % string formatting without HTML encoding. logtmp is populated from the exception object or from new_env.variables.__log__, which is attacker-controlled via the template extract_variables mechanism. A low-privileged authenticated attacker can create a crafted HAR template that extracts arbitrary HTML/JavaScript into the __log__ variable via the api://util/unicode endpoint. When a victim triggers the task run, the embedded script executes in the victim browser within the QD application context.