Quasar Framework is a framework for building high-performance Vue.js user interfaces. Prior to @quasar/ssl-certificate 2.1.0, @quasar/cli 5.0.4, and @quasar/app-vite 3.3.0, the @quasar/ssl-certificate utility cached a combined private key and certificate PEM without explicitly applying owner-only filesystem permissions. Another local user able to read the cache can copy the key and impersonate a development TLS endpoint in an environment that trusts the certificate.
The generated certificate was also CA-capable, carried unnecessarily broad key usages, and encoded the IPv6 loopback address as a DNS subject alternative name. This issue is fixed in @quasar/ssl-certificate 2.1.0, @quasar/cli 5.0.4, and @quasar/app-vite 3.3.0.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
@quasar:ssl-certificate
@quasar:app-vite
quasarframework:quasar
@quasar:cli
Ссылки 4
https://github.com/quasarframework/quasar/security/advisories/GHSA-fh39-c73x-5p…
https://github.com/quasarframework/quasar/security/advisories/GHSA-fh39-c73x-5pjv
https://github.com/quasarframework/quasar/commit/b719460aa78e88714b8a1b7ca68267…
https://github.com/quasarframework/quasar/commit/b719460aa78e88714b8a1b7ca68267234d217575
https://github.com/quasarframework/quasar/releases/tag/@quasar/app-vite-v3.3.0
https://github.com/quasarframework/quasar/releases/tag/@quasar/app-vite-v3.3.0
https://github.com/quasarframework/quasar/releases/tag/@quasar/cli-v5.0.4
https://github.com/quasarframework/quasar/releases/tag/@quasar/cli-v5.0.4