@quasar/app-vite: HTML-Attributinjektion über SSR/SSG-Nonce
Zusammenfassung
Das Build-Tool @quasar/app-vite fügte den SSR/SSG-Nonce-Wert ohne sichere Einschränkung in gequotete HTML-Attribute ein. Wenn eine Anwendung den Nonce mit angreiferkontrollierten Daten ableitet oder überschreibt, kann ein Angreifer das Attribut vorzeitig beenden und zusätzliche Attribute oder Markup in serverseitig gerenderte Seiten einschleusen. Kryptografisch erzeugte Base64- oder Base64url-Nonces sind nicht betroffen. Die Exposition beschränkt sich auf eigene Nonce-Logik in öffentlich erreichbaren SSR- oder SSG-Anwendungen.
Betroffen
- @quasar/app-vite vor 3.3.0
- quasarframework/quasar vor 2.23.4 (im CNA-Eintrag aufgeführt; Zuordnung in der primären Advisory nicht verifiziert)
Behoben in
- @quasar/app-vite 3.3.0 oder neuer
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Das Update ist die Behebung.
- Bis zum Patch sicherstellen, dass Nonces von einem serverseitigen kryptografischen Zufallsgenerator stammen und nie aus Request-Daten oder anderen Benutzereingaben gebildet werden (eigene Einschätzung, keine Herstelleranweisung).
Ausnutzung
- Gemäss HOL nicht als aktiv ausgenutzt bekannt; im CISA-KEV-Katalog nicht verifiziert.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
- CISA SSVC: Exploitation none, nicht automatisierbar. EPSS 0.00266.
Unsere Empfehlung
- Lockfiles und Paketmanifeste auf @quasar/app-vite unterhalb 3.3.0 prüfen.
- @quasar/app-vite auf 3.3.0 oder neuer aktualisieren; dies deckt auch die verwandten Quasar-CVEs CVE-2026-106105 und CVE-2026-106106 ab.
- Eigene Nonce-Logik in SSR- und SSG-Code prüfen und sicherstellen, dass sie nicht aus Benutzereingaben abgeleitet wird.
- Öffentlich erreichbare SSR- oder SSG-Anwendungen mit eigenen Nonces priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Quasar commit 91271c3 (fix) github.com
- Quasar @quasar/app-vite v3.3.0 release github.com
- GitHub Security Advisory GHSA-5m6h-8g35-p3m7 github.com
- Tenable CVE record CVE-2026-106107 www.tenable.com
- OSV CVE-2026-106107 osv.dev
- OpenCVE CVE-2026-106107 app.opencve.io
- HOL advisory CVE-2026-106107 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.