CVE-2026-104140

Nome do Software Vulnerável e Versões Afetadas QGIS Server versões anteriores a 3.44.12 QGIS Server versões 4.0.0 a 4.2.3

Descrição O QGIS Server não realiza a filtragem (escaping) de HTML ao renderizar dados de recursos em respostas HTML WFS3 (OGC API Features). Um invasor pode fornecer valores maliciosos em feature.properties a partir de uma camada vetorial gravável publicada, que são processados através da função QgsServerOgcApiHandler::htmlDump e do callback if nullptr null str, atingindo o endpoint 'resources/server/api/ogc/templates/wfs3/getFeatures.html'. Isso permite a execução de marcações ou scripts armazenados na origem do QGIS Server quando um usuário abre a página HTML de itens, podendo expor dados de sessão ou permitir requisições autenticadas com os privilégios do visualizador.

Recomendações Atualize para a versão 3.44.12 ou posterior. Atualize para uma versão posterior à 4.2.3.