CVE-2026-94451

ŚrednieCVSS 6.5

Opublikowano: 12/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Streszczenie

Quarkus REST Data Panache automatycznie generuje punkty końcowe REST dla encji danych. Wykryto wadę, w której niektóre punkty końcowe nie sprawdzają prawidłowo parametru sortowania podawanego przez użytkownika. Umożliwia to atakującemu uzyskanie informacji, do których nie powinien mieć dostępu, lub spowolnienie systemu przez wymuszenie na bazie danych wykonywania złożonych operacji, co może prowadzić do odmowy usługi.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych lub zakłócić działanie systemu, powodując przeciążenie bazy danych i spowolnienie usług.

Rekomendacja

Zaleca się jak najszybsze zaktualizowanie Quarkus do wersji zawierającej poprawkę oraz ograniczenie możliwości sterowania parametrem sortowania przez użytkowników, np. poprzez walidację na listach dozwolonych wartości.

Inne podatności w Quarkus REST Data Panache

CVE-2026-87744Krytyczne
W Quarkus REST Data Panache wykryto lukę, która pozwala nieuwierzytelnionym atakującym ominąć mechanizmy kontroli bezpieczeństwa na generowanych endpointach. Gdy deweloper dostosowuje konkretną operację za pomocą @MethodProperties bez ponownego zadeklarowania ról bezpieczeństwa, generator kodu po cichu usuwa wymagania bezpieczeństwa zdefiniowane na poziomie klasy. W efekcie endpoint domyślnie staje się dostępny bez uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

Quarkus REST Data Panache provides a way to automatically generate REST endpoints for data entities. A flaw was found where certain endpoints do not properly check the sort parameter provided by users. This could allow an attacker to learn information they should not have access to or slow down the system by forcing the database to perform complex tasks, potentially causing a denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS