CVE-2026-73647

Quasar Framework przed wersją 2.22.0 zawiera podatność w serializerze getHead() używanym tylko w SSR, która nie koduje odpowiednio wartości dostarczanych przez useMeta(). Atakujący, który może wpływać na dynamiczne metadane strony, może wstrzyknąć wykonywalny kod HTML przed hydratacją. Ścieżka po stronie klienta nie jest dotknięta, ponieważ używa API DOM kodujących atrybuty.

Quasar Framework to framework do budowania wydajnych interfejsów Vue.js. W wersjach od 3.1.0 do 3.3.0 definicje stron SSG zwracane przez getSsgPages() w @quasar/app-vite mogły podawać wartości dir i filename łączone z build.distDir bez weryfikacji końcowej lokalizacji. Przejście do katalogu nadrzędnego lub istniejący dowiązanie symboliczne poniżej katalogu dystrybucji mogły utworzyć nowe pliki HTML lub katalogi poza drzewem wyjściowym z uprawnieniami użytkownika budującego.

W Quasar Framework od wersji 1.0.0 do 3.3.0 pakiet @quasar/app-vite rekurencyjnie usuwał rozwiązany katalog build.distDir przed budowaniem, bez odrzucania katalogu głównego projektu, katalogu domowego użytkownika, korzeni systemu plików lub zewnętrznych katalogów rozwiązanych przez dowiązania symboliczne. Niebezpieczna, zaufana konfiguracja może usunąć dane zapisywalne przez użytkownika budującego przed rozpoczęciem kompilacji. Domyślnie żadne dane kontrolowane przez atakującego nie docierają do build.distDir, więc wykorzystanie wymaga skompromitowanej lub mniej zaufanej automatyzacji lub błędnej konfiguracji. Problem naprawiono w wersji 3.3.0.

Quasar Framework przed wersją 3.3.0 w kilku ścieżkach renderowania SSR i SSG @quasar/app-vite interpoluje ssrContext.nonce bezpośrednio do atrybutów HTML w cudzysłowach. Aplikacja, która wyznacza lub nadpisuje tę wartość danymi kontrolowanymi przez atakującego, może pozwolić na zamknięcie atrybutu nonce cudzysłowem i wstrzyknięcie dodatkowych atrybutów lub znaczników do generowanego HTML. Nonce generowane kryptograficznie w base64 lub base64url nie są podatne, ponieważ nie zawierają delimiterów atrybutów HTML. Podatność została naprawiona w wersji 3.3.0.

Quasar Framework przed wersjami @quasar/render-ssr-error 2.2.4 i @quasar/app-vite 3.3.0: funkcja renderSSRError() w utils/render-ssr-error/src/index.js używała danych diagnostycznych z utils/render-ssr-error/src/env.js do serializacji process.env, nagłówków żądań i ciasteczek do strony HTTP zwracanej przez serve.devError(), podczas gdy serwer deweloperski domyślnie nasłuchiwał na wszystkich interfejsach. Każdy klient sieciowy, który osiągnie błąd renderowania SSR lub SSG przez tę ścieżkę błędów, może uzyskać sekrety środowiska powłoki. Renderer escapował tylko jedną dokładną małą literę zamykającego tagu script, więc warianty wielkości liter i prawidłowe warianty delimiterów mogły zakończyć element script i wstrzyknąć znaczniki. Podatność została naprawiona w @quasar/render-ssr-error 2.2.4 i @quasar/app-vite 3.3.0.

Quasar Framework przed wersjami @quasar/ssl-certificate 2.1.0, @quasar/cli 5.0.4 i @quasar/app-vite 3.3.0 przechowuje połączony klucz prywatny i certyfikat PEM w pamięci podręcznej bez ustawienia odpowiednich uprawnień dostępu (tylko właściciel). Inny lokalny użytkownik może skopiować klucz i podszyć się pod deweloperski punkt końcowy TLS w środowisku ufającym certyfikatowi. Wygenerowany certyfikat ma również niepotrzebnie szerokie zastosowania klucza i zawiera adres IPv6 loopback jako DNS SAN.

Quasar Framework przed wersją 2.23.3 przekazuje nieograniczony nagłówek User-Agent do funkcji getMatch() w Platform.parseSSR(), co w połączeniu z wyrażeniami regularnymi powoduje super-liniowe cofanie (backtracking) i blokowanie pętli zdarzeń Node.js. Złośliwy nieuwierzytelniony żądanie może opóźnić wszystkie inne żądania SSR. Problem dotyczy tylko trybu SSR; inne cele (SPA, PWA itp.) nie są podatne.

Quasar Framework przed wersją @quasar/icongenie 6.1.1 pozwala na manipulację ścieżką docelową w poleceniu icongenie generate --profile. Wartości folder i name z profilu nie są ograniczane do katalogu projektu, co umożliwia zapis lub nadpisanie plików poza katalogiem projektu (traversal). Deweloper uruchamiający złośliwy profil może zmodyfikować pliki startowe powłoki, skrypty budowania lub inną konfigurację wykonywalną.

W Quasar Framework przed wersją 2.32.2 narzędzie openURL() ufało obiektowi window.SafariViewController, gdy istniał on w środowisku iOS. Złośliwy HTML renderowany przez komponenty takie jak QEditor może utworzyć element SafariViewController, powodując zastąpienie oczekiwanego obiektu mostu natywnego przez rozwiązywanie nazwanych właściwości przeglądarki. Późniejsze wywołanie openURL() wywołuje isAvailable() na tym elemencie, zgłasza TypeError i zakłóca nawigację zewnętrzną, przekierowania logowania, płatności i inne przepływy otwierania adresów URL.