CVE-2026-106102: Quasar Framework: Cross-site Scripting por renderização de meta tags SSR sem codificação em getHead()
As versões do Quasar Framework anteriores à 2.22.0 inserem metadados de página no HTML renderizado no servidor sem codificação adequada, o que pode permitir Cross-site Scripting quando um atacante consegue influenciar esses valores. O registro classifica a falha como crítica, com pontuação base CVSS de 10, e informa que foi corrigida na 2.22.0. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O caminho de renderização no servidor do Quasar Framework monta tags de metadados da página para os elementos title, meta, link e script. Segundo o aviso de segurança no GitHub, o serializador getHead(), exclusivo para SSR, interpolava valores sem codificação de texto HTML nem de atributos entre aspas, e essa saída era anexada à resposta do servidor.
Impacto
- O registro classifica a falha como Cross-site Scripting (CWE-79), com pontuação base CVSS de 10 (crítica), vetor de ataque pela rede, sem privilégios e sem interação do usuário, além de alto impacto na confidencialidade e na integridade.
- A exploração depende de um atacante conseguir influenciar metadados dinâmicos, como título de publicação, nome de produto, resumo ou nome de exibição.
- O caminho apply() do lado do cliente é descrito como não afetado.
Produtos e versões afetadas
- Produto: Quasarframework Quasar.
- Intervalo afetado: anteriores à 2.22.0.
- Versão corrigida segundo a descrição do aviso: 2.22.0. O campo estruturado de correções no registro está vazio, então confirme pela tag de lançamento.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A exploração registrada no SSVC é none.
Correção e mitigação
- Atualize o Quasar para a versão 2.22.0 ou superior.
- Enquanto a atualização não for aplicada, revise páginas SSR em que dados controlados por usuários chegam aos metadados e confirme que a saída está codificada.
- Trate metadados derivados de conteúdo do usuário como não confiáveis em templates e na renderização no servidor.
Orientações de detecção
- Revise o HTML renderizado no servidor em busca de marcação inesperada dentro de elementos title, meta, link ou script.
- Revise logs e fluxos de conteúdo em busca de valores incomuns em campos que alimentam os metadados da página.
Limitações das informações disponíveis
O registro não lista sub-intervalos afetados além do informado, nem dados estruturados de correção. Se uma aplicação específica é explorável depende de como ela preenche os metadados, o que o registro não descreve.
Perguntas frequentes
Quais versões do Quasar são afetadas pela CVE-2026-106102?
Segundo o registro, as versões anteriores à 2.22.0 são afetadas. A descrição informa que a falha foi corrigida na 2.22.0.
Esta falha afeta a renderização do lado do cliente?
A descrição do aviso informa que o caminho apply() do lado do cliente não é afetado, pois usa APIs do DOM que codificam atributos. A falha está no caminho de serialização exclusivo para SSR.
Esta CVE é conhecida por ser explorada na prática?
O registro indica que ela não consta no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. A exploração registrada no SSVC é none.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.