cveboard Feed RSS

CVE-2026-106102

GitHubCrítica, npm

Quasar Framework: XSS armazenado/refletido via renderização de meta tag SSR não escapada em getHead()

Traduzido automaticamente do inglês.

Arquivo: ui/src/utils/meta/Meta.js — na verdade ui/src/plugins/meta/Meta.js (linhas 149-176: getAttr() e getHead()) Sink: injectServerMeta() (mesmo arquivo) → ctx.headTags += getHead(data), interpolado literalmente na resposta HTTP <head> bruta pelo template de SSR de produção (app-vite/templates/entry/ssr-prod-webserver.js + app-vite/lib/plugins/vite.html).

Sem exploração conhecida
Gravidade
Crítica, CVSS 10.0 (v3.1)
EPSS
0,3% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados