Quasar Framework: Super-lineares Regex-Backtracking bei SSR-User-Agent-Parsing

Zusammenfassung

Quasar Framework, ein Framework für Vue.js, analysiert den HTTP-Header User-Agent während des Server-Side Renderings (SSR) mit ineffizienten regulären Ausdrücken. Eine einzelne, nicht authentifizierte Anfrage mit einem präparierten User-Agent kann die Event Loop von Node.js blockieren und alle anderen SSR-Anfragen verzögern. Nur SSR-Builds sind betroffen; SPA-, PWA-, Electron-, Cordova-, Capacitor-, Browser-Extension- und Static-Site-Generation-Ziele sind nicht betroffen.

Betroffen

• Quasar Framework (npm-Paket quasar) vor Version 2.23.3, nur SSR-Builds
• Versionen 1.x sind in Scanner-Daten aufgeführt, aber nicht verifiziert; manuell prüfen

Behoben in

• Behoben in Version 2.23.3
• Herstellerhinweis GHSA-68jq-fhch-4xq4 und Fix-Commit 7a954dd

Umgehung

• Länge des User-Agent-Headers an einem Reverse Proxy oder WAF begrenzen (keine Herstellerempfehlung, nicht getestet)
• Rate-Limiting für SSR-Endpunkte einrichten
• Ein Neustart des Node-Prozesses hilft nur vorübergehend

Ausnutzung

• Unbekannt, ob die Lücke aktiv ausgenutzt wird; zum Zeitpunkt der Recherche nicht als bekanntermassen ausgenutzt markiert
• Öffentliche technische Details existieren: Ein nachgelagerter Pull Request reproduziert den verwundbaren Codepfad
• CISA SSVC: Exploitation PoC, automatisierbar: ja, technische Auswirkung: total

Unsere Empfehlung

• Alle Quasar-Projekte und Build-Server inventarisieren (npm ls quasar, Lockfiles, Container-Images)
• Anwendungen identifizieren, die im SSR-Modus laufen, und prüfen, ob sie aus dem Internet erreichbar sind
• Auf mindestens 2.23.3 aktualisieren und die neueste 2.x-Version testen, die das Team unterstützen kann
• Bis zur Aktualisierung die Länge des User-Agent-Headers begrenzen und SSR-Endpunkte am Proxy ratenbegrenzen
• CVSS-Wert auf NVD prüfen, sobald die Analyse abgeschlossen ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Quasar security advisory GHSA-68jq-fhch-4xq4 github.com
• Quasar fix commit 7a954dd github.com
• Quasar release v2.23.3 github.com
• OSV entry CVE-2026-106104 osv.dev
• OpenCVE CVE-2026-106104 app.opencve.io
• Quasar release v2.23.3 mirror (newreleases.io) newreleases.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:31.