CVE-2026-27971
Kritik
Açıklama
Qwik, performans odaklı bir javascript framework'üdür. qwik <=1.19.0 sürümü, server$ RPC mekanizmasındaki güvenli olmayan bir deserialization zafiyeti nedeniyle, herhangi bir kimlik doğrulaması yapmamış kullanıcının tek bir HTTP isteği ile sunucu üzerinde rastgele kod çalıştırmasına izin veren bir RCE zafiyetine sahiptir. Çalışma zamanında require() fonksiyonunun mevcut olduğu tüm dağıtımları etkiler. Bu zafiyet 1.19.1 sürümünde giderilmiştir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Qwik
Yayın3 Mar 2026
İlk görülme3 Mar 2026
Nasıl düzeltilir
Güncelleyin
- qwik qwik1.19.1 ya da sonraki bir sürüm
- @builder.io/qwik1.19.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| qwik qwik | v < 1.19.1 | 1.19.1 |
| @builder.io/qwiknpm | v < 1.19.1 | 1.19.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.