Quasar Framework: Cross-Site Scripting durch unescapte SSR-Meta-Tag-Ausgabe

Zusammenfassung

Quasar Framework ist ein Framework für Vue.js. In Versionen vor 2.22.0 fügte der serverseitige Meta-Serializer Werte aus useMeta() ohne ausreichende HTML-Kodierung in title-, meta-, link- und script-Markup ein. Ein Angreifer, der Seitenmetadaten wie einen Beitragstitel, einen Produktnamen oder einen Anzeigenamen beeinflussen kann, kann ausführbares Markup in die Serverantwort einschleusen, das im Browser der Besucher vor der Hydration läuft. Der clientseitige Pfad ist nicht betroffen.

Betroffen

• Quasar Framework Versionen vor 2.22.0, die SSR mit useMeta() und serverseitiger Meta-Injektion (injectServerMeta) verwenden
• Reine clientseitige Anwendungen (SPA) sind laut Advisory nicht betroffen

Behoben in

• Auf Quasar 2.22.0 oder neuer aktualisieren. Die Release Notes nennen die Korrektur als 'secure SSR meta serialization'.
• Aktuelle Releases der Linie 2.32.x sind verfügbar; Angaben auf der offiziellen Release-Seite prüfen und SSG-Projekte nach dem Update testen.

Umgehung

• Unbekannt. Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
• Bis zum Update sicherstellen, dass Metadaten nie unvertrauenswürdige Eingaben enthalten, oder die Werte im eigenen SSR-Code escapen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Kein Eintrag im CISA KEV gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Der GHSA-Text erwähnt einen Proof of Concept des Melders; ein öffentlicher Exploit wurde nicht gefunden.
• EPSS 0.00299 (geringe prognostizierte Wahrscheinlichkeit).

Unsere Empfehlung

• Alle Quasar-Projekte inventarisieren und in package.json und Lockfiles nach Versionen unter 2.22.0 suchen.
• SSR-Projekte identifizieren, die useMeta() mit benutzerbeeinflussten Daten verwenden.
• Auf 2.22.0 oder neuer aktualisieren und Regressionstests durchführen, insbesondere bei SSG-Projekten.
• Öffentliche Seiten auf Hinweise für eingeschleuste Skripte prüfen.
• Hinweis: VulDB bewertet die Lücke mit 4.3 (Mittel), NVD/CNA mit 10.0 (Kritisch); den Vektor im Hinblick auf die eigene Exposition prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-pq96-jpmf-w254 github.com
• Fix commit 11505afe5b5218f2c468f130181815b898fd1e40 github.com
• Quasar release v2.22.0 github.com
• OSV GHSA-pq96-jpmf-w254 osv.dev
• OSV CVE-2026-106102 osv.dev
• VulDB 414366 vuldb.com
• Vulners CVELIST:CVE-2026-106102 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:35.