Quasar @quasar/app-vite : écriture de fichiers hors du répertoire de sortie SSG

Veille sécuritéFrontend

P4Moyenne

Une vulnérabilité de traversée de chemin dans la génération SSG de @quasar/app-vite peut permettre de créer des fichiers HTML ou des répertoires hors du dossier de sortie configuré. Le risque concerne les processus de build dont la configuration ou les définitions de pages SSG peuvent être influencées par des données non fiables.

IdentifiantCVE-2026-106108

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.3.0

Source : NVD — CVE-2026-106108

Analyse technique

Les valeurs dir et filename renvoyées par getSsgPages() sont jointes à build.distDir sans vérification que le chemin final reste dans le dossier de sortie. Un chemin avec remontée de répertoire ou un lien symbolique existant peut conduire à écrire hors de celui-ci, avec les permissions du compte de build; les fichiers existants ne sont pas écrasés.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-13 à 15:17:31.260Z, soit 17:17:31.260+02:00, dans la période demandée. La date de modification de la fiche est aussi dans la période, mais aucun changement substantiel distinct n’est établi à partir des éléments consultés.

ImpactCréation de nouveaux fichiers ou répertoires hors du répertoire de sortie configuré, avec les permissions du processus de build.

Versions affectées@quasar/app-vite >= 3.1.0 et < 3.3.0

Version corrigée3.3.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.7

Publication2026-10-13T17:17:31.260+02:00

Mise à jour2026-10-13T23:17:30.250+02:00

Action recommandée

Mettre à niveau @quasar/app-vite vers la version 3.3.0 ou ultérieure. Éviter que des données non fiables contrôlent la configuration de build ou les définitions de pages SSG.

Sources

NVD — CVE-2026-106108

Priorisation DFS : P4 · 1 source(s).