CVE.futuretools
FAQ
escape is bypassable","description":"Утечка переменных окружения и обход фильтрации тега script на dev-странице ошибок Quasar Framework.","isPartOf":{"@id":"https://cve.futuretools.ru/#website"},"breadcrumb":{"@id":"https://cve.futuretools.ru/cve/CVE-2026-106106#breadcrumb"},"mainEntity":{"@id":"https://cve.futuretools.ru/cve/CVE-2026-106106#advisory"}},{"@type":"BreadcrumbList","@id":"https://cve.futuretools.ru/cve/CVE-2026-106106#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Главная","item":"https://cve.futuretools.ru"},{"@type":"ListItem","position":2,"name":"База CVE","item":"https://cve.futuretools.ru"},{"@type":"ListItem","position":3,"name":"CVE-2026-106106","item":"https://cve.futuretools.ru/cve/CVE-2026-106106"}]},{"@type":"SecurityAdvisory","@id":"https://cve.futuretools.ru/cve/CVE-2026-106106#advisory","identifier":"CVE-2026-106106","name":"CVE-2026-106106: Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its escape is bypassable","headline":"Утечка переменных окружения и обход фильтрации тега script на dev-странице ошибок Quasar Framework.","description":"Функция renderSSRError() в dev-режиме сериализует process.env и заголовки в HTML, а sanitization блокирует только нижний регистр .","datePublished":"2026-10-06T17:24:07.788Z","dateModified":"2026-10-06T18:22:44.948Z","mainEntityOfPage":"https://cve.futuretools.ru/cve/CVE-2026-106106#webpage","author":{"@id":"https://cve.futuretools.ru/#organization"},"publisher":{"@id":"https://cve.futuretools.ru/#organization"},"threatLevel":"High","cvssScore":7.1,"cvssVector":"CVSS:4.0/AV:A/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:H/SI:H/SA:N","inLanguage":"ru-RU","articleSection":"Cybersecurity Threat Intelligence","keywords":"CVE-2026-106106, CVE, CVSS, Vulnerability, кибербезопасность","remediation":"Обновить пакеты @quasar/render-ssr-error до версии 2.2.4 и @quasar/app-vite до версии 3.3.0.","sameAs":["https://nvd.nist.gov/vuln/detail/CVE-2026-106106","https://www.cve.org/CVERecord?id=CVE-2026-106106"],"about":[{"@type":"SoftwareApplication","name":"quasar","applicationCategory":"Security Vulnerability Target","operatingSystem":"quasarframework"},{"@type":"SoftwareApplication","name":"render-ssr-error","applicationCategory":"Security Vulnerability Target","operatingSystem":"@quasar"},{"@type":"SoftwareApplication","name":"app-vite","applicationCategory":"Security Vulnerability Target","operatingSystem":"@quasar"},{"@type":"SoftwareApplication","name":"","applicationCategory":"Security Vulnerability Target","operatingSystem":"All Platforms"},{"@type":"SoftwareApplication","name":"","applicationCategory":"Security Vulnerability Target","operatingSystem":"All Platforms"}]}]}
NVD NIST
CVE-2026-106106

Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable

CVSS 3.1High
7.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.23.3, 2.2.4, 3.3.0
Обновить пакеты @quasar/render-ssr-error до версии 2.2.4 и @quasar/app-vite до версии 3.3.0.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утечка переменных окружения и обход фильтрации тега script на dev-странице ошибок Quasar Framework.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция renderSSRError() в dev-режиме сериализует process.env и заголовки в HTML, а sanitization блокирует только нижний регистр </script>.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Раскрытие секретов окружения через сеть и XSS-инъекция через вариативный синтаксис закрывающего тега скрипта в dev-сервере.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

quasarframeworkquasar
все ранние➔Fix: 2.23.3
@quasarrender-ssr-error
все ранние➔Fix: 2.2.4
@quasarapp-vite
все ранние➔Fix: 3.3.0
——
>= 0➔Fix: 2.2.4
——
>= 0➔Fix: 3.3.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-106106: Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable. URL: https://cve.futuretools.ru/cve/CVE-2026-106106
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_106106,
  title = {{CVE-2026-106106: Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-106106}},
  note = {Оперативный инженерный анализ киберугроз}
}