CVE-2026-87744

KrytyczneCVSS 9.1

Opublikowano: 12/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Streszczenie

W Quarkus REST Data Panache wykryto lukę, która pozwala nieuwierzytelnionym atakującym ominąć mechanizmy kontroli bezpieczeństwa na generowanych endpointach. Gdy deweloper dostosowuje konkretną operację za pomocą @MethodProperties bez ponownego zadeklarowania ról bezpieczeństwa, generator kodu po cichu usuwa wymagania bezpieczeństwa zdefiniowane na poziomie klasy. W efekcie endpoint domyślnie staje się dostępny bez uwierzytelnienia.

Ocena ryzyka

Może dojść do nieautoryzowanego ujawnienia informacji lub modyfikacji danych przez nieuwierzytelnionych użytkowników, co stanowi poważne naruszenie bezpieczeństwa aplikacji.

Rekomendacja

Zaktualizuj Quarkus REST Data Panache do wersji zawierającej poprawkę oraz przejrzyj istniejące endpointy pod kątem jawnie zadeklarowanych ról bezpieczeństwa przy użyciu @MethodProperties.

Inne podatności w Quarkus REST Data Panache

CVE-2026-94451Średnie
Quarkus REST Data Panache automatycznie generuje punkty końcowe REST dla encji danych. Wykryto wadę, w której niektóre punkty końcowe nie sprawdzają prawidłowo parametru sortowania podawanego przez użytkownika. Umożliwia to atakującemu uzyskanie informacji, do których nie powinien mieć dostępu, lub spowolnienie systemu przez wymuszenie na bazie danych wykonywania złożonych operacji, co może prowadzić do odmowy usługi.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in Quarkus REST Data Panache. This vulnerability allows unauthenticated attackers to bypass security controls on generated endpoints. When a developer customizes a specific operation using @MethodProperties without explicitly re-declaring security roles, the code generator silently drops class-level security requirements. This results in the affected endpoint defaulting to permissive, unauthenticated access, potentially leading to unauthorized information disclosure or data modification.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS