「quasar」の脆弱性 CVE-2026-106102: クロスサイトスクリプティング (XSS)

どんな危険があるか

Quasar FrameworkのSSR（Server-Side Rendering）専用のgetHead()シリアライザが、HTMLテキストや属性のエンコーディングを適切に行わないため、クロスサイトスクリプティング（XSS）の脆弱性が存在する。攻撃者は、動的なページメタデータ（例：記事タイトル、製品名）を操作することで、意図しないHTMLコンテキストを終了させ、悪意のあるスクリプトを挿入できる。これにより、ユーザーのセッションハイジャックや機密情報の窃取、Webサイトの改ざんなどの被害が発生する恐れがある。

今すぐやること

この脆弱性はQuasar Frameworkのバージョン2.22.0で修正されている。影響を受けるバージョンを使用している場合、速やかにバージョン2.22.0以降にアップデートすることを強く推奨する。アップデートが困難な場合は、アプリケーションで動的なメタデータ入力が適切にサニタイズされているかを確認し、対策を講じる必要がある。