PT-2026-40800 · Unknown · Quark Drive

Katriel Moses · Publicado 2026-05-13 · Atualizado 2026-05-14 · CVE-2026-45228

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Quark Drive versões anteriores a 0.8.5

Descrição Um problema de cross-site scripting armazenado existe na página de Configuração do Sistema. O template renderiza nomes de chaves push config usando a diretiva v-html do Vue.js sem a devida filtragem. Atacantes autenticados podem injetar payloads de HTML ou JavaScript como nomes de chaves através do endpoint "POST /update". Esses payloads são salvos no disco e executados nos navegadores de todos os usuários autenticados que acessarem a aba de Configuração do Sistema, permitindo a exfiltração de cookies de sessão e ações autenticadas arbitrárias.

Recomendações Atualize para a versão 0.8.5 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-45228

Produtos afetados

Quark Drive

Referências · 7

• https://github.com/Cp0204/quark-auto-save/commit/8436e2821988637ed7bfc5562544d089e6b29478 · Correção
• https://github.com/Cp0204/quark-auto-save/releases/tag/v0.8.5 · Nota
• https://twitter.com/CVEnew/status/2054709227701375228 · Publicação no Twitter
• https://t.me/CVEtracker/53680 · Publicação no Telegram
• https://vulncheck.com/advisories/quark-drive-stored-xss-via-system-configuration · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-45228 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2054857744272765163 · Publicação no Twitter