CVE-2026-39852
Açıklama
Quarkus, bulut yerli uygulamalar oluşturmak için kullanılan bir Java çerçevesidir. 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 ve 3.35.2 sürümlerinden önceki versiyonlarda, güvenlik katmanı ile yönlendirme katmanı arasındaki yol normalleştirme tutarsızlığı, kimliği doğrulanmamış veya düşük yetkili kullanıcıların HTTP yol tabanlı yetkilendirme politikalarını atlatmasına olanak tanır. Quarkus'un güvenlik katmanı, matris parametrelerini (noktalı virgüller) koruyan ham URL yolu üzerinde yetkilendirme kontrolleri gerçekleştirirken, RESTEasy Reactive'in yönlendirme katmanı uç noktaları eşleştirmeden önce matris parametrelerini temizler. Bir saldırgan, /api/admin yolunu koruyan politikaları atlatırken hala korunan uç noktaya yönlendirilmek için istek URL'sine bir noktalı virgül ve rastgele metin ekleyebilir (örneğin, /api/admin;anything). Bu sorun 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 ve 3.35.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- quarkus quarkus3.20.6.1, 3.27.3.1, 3.33.1.1, 3.34.7, 3.35.2 ya da sonraki bir sürüm
- io.quarkus:quarkus-vertx-http3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| quarkus quarkus | v < 3.20.6.1, 3.21.0 ≤ v < 3.27.3.1, 3.28.0 ≤ v < 3.33.1.1, 3.34.0 ≤ v < 3.34.7, 3.35.0 ≤ v < 3.35.2 | 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.34.7, 3.35.2 |
| io.quarkus:quarkus-vertx-httpMaven | v < 3.20.6.1, 3.21.0 ≤ v < 3.27.3.1, 3.30.0 ≤ v < 3.33.1.1, 3.34.0 ≤ v < 3.35.1.1 | 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.