CVE-2026-87743
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Wykryto wadę w zabezpieczeniach HTTP Quarkus. Nieuwierzytelniony atakujący może wykorzystać rozbieżność w normalizacji ścieżek między matcherem bezpieczeństwa a dyspozytorami żądań HTTP, tworząc URL uznawany przez matcher za publiczny, który następnie jest kierowany do chronionego punktu końcowego, co prowadzi do obejścia autoryzacji i potencjalnego nieautoryzowanego dostępu do poufnych informacji.
Ocena ryzyka
Atakujący może uzyskać dostęp do chronionych zasobów bez uwierzytelnienia, co może skutkować wyciekiem danych. Podatność dotyczy aplikacji opartych na Quarkus z konfiguracją bezpieczeństwa ścieżek.
Rekomendacja
Zaktualizuj Quarkus do wersji zawierającej poprawkę. Zweryfikuj konfigurację matcherów bezpieczeństwa i unikaj polegania wyłącznie na normalizacji ścieżek.
Inne podatności w Quarkus
Zobacz wszystkie- CVE-2026-19625Średnie
W aplikacji Quarkus z wieloma punktami końcowymi zabezpieczonymi przez różnych dostawców OIDC, gdy włączony jest opcjonalny cache introspekcji tokenów, ważny token wydany przez dostawcę OIDC 1 może być użyty do uzyskania dostępu do punktu końcowego zabezpieczonego przez dostawcę OIDC 2.
- CVE-2026-50559Wysokie
Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).
- CVE-2026-39852Wysokie
Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).
- CVE-2024-1726Średnie
W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.
- CVE-2024-1979Niskie
W produkcie Quarkus znaleziono podatność, która w określonych warunkach związanych z procesem CI może doprowadzić do przypadkowego opublikowania poświadczeń git, co może narazić repozytorium git na ryzyko.
- CVE-2023-4853Wysokie
Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Quarkus HTTP security. An unauthenticated attacker can exploit a discrepancy in how paths are normalized between the security matcher and HTTP request dispatchers. This allows the attacker to craft a URL that the security matcher considers public, but which is then routed to a protected endpoint, leading to an authorization bypass and potential unauthorized access to sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS