CVE-2026-106104
Publiée le 2026-10-06 · Dernière modification le 2026-10-09
Les applications utilisant le framework Quasar pour le rendu côté serveur (SSR) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut envoyer un en-tête User-Agent spécifiquement conçu pour geler la boucle d'événements de Node.js, bloquant ainsi toutes les autres requêtes adressées au serveur. Cette attaque est facile à exécuter car elle ne nécessite qu'un accès réseau basique et aucune interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Quasar Framework is a framework for building high-performance Vue.js user interfaces. Prior to 2.23.3, Platform.parseSSR() passed an unbounded User-Agent request header to getMatch() in ui/src/plugins/platform/Platform.js, whose browser-detection expressions combined greedy captures with repeated unbounded scans. Platform belongs to autoInstalledPlugins, so this parsing occurs before routing for every SSR request. A crafted unauthenticated request containing repeated version tokens without a terminating Safari token causes super-linear backtracking and blocks the Node.js event loop, delaying every other SSR request. SPA, PWA, Electron, Cordova, Capacitor, browser-extension, and static-site-generation targets are not affected because they do not parse an attacker-controlled request header through this path. This issue is fixed in version 2.23.3.