Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-pq96-jpmf-w254 (CVE-2026-106102) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën quasar të ekosistemit npm.
Paketat e prekura
- quasar (npm) — versionet e prekura:
< 2.22.0; versioni me rregullim:2.22.0
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')), CWE-116 (Improper Encoding or Escaping of Output)
- Identifikuesit: GHSA-pq96-jpmf-w254, CVE-2026-106102
Përmbledhja zyrtare
Kuazar Kuadri: XSS i ruajtur/reflektuar përmes paraqitjes së meta-tagut SSR të pa shpëtuar në getHead () — Detaje të cenueshmërisë File : ui/src/utils/meta/Meta.js — në të vërtetë ui/src/plugins/meta/Meta.js (linjat 149-176: getAttr () dhe getHead () ) Sink : injectServerMeta () (skedari i njëjtë→) ctx.headTags += getHead (të dhënat) , verbatim i interpoluar në përgjigjen e papërpunuar http <head by the production SSR template (app-vite/templates/entry/ssr-prod-webserver.js + app-vite/lib/plugins/vite.html.js) Pika e hyrjes: përdorimi publikMeta () i kompozueshëm ( ui/src/composables/use-meta/use-meta.js) — mënyra e vetme e dokumentuar që aplikacionet vendosin titullin e faqes/meta/link/script tags Root Cause getHead () është serializuesi i vetëm SSR i Quasar që kthen të dhënat e meta/link/script/title të mbledhura nga çdo thirrje useMeta () në…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin quasar, përditësojeni sa më shpejt në versionin 2.22.0 ose më të ri.
