Zaloguj się
Deutsch English Español Polski
Wysoka

Quarkus HTTP vulnerable to incorrect evaluation of permissions

  • Ujawniono: 20.09.2023
  • Aktualizacja: 11.10.2026 12:21

A flaw was found in Quarkus where HTTP security policies are not sanitizing certain character permutations correctly when accepting requests, resulting in incorrect evaluation of permissions. This issue could allow an attacker to bypass the security policy altogether, resulting in unauthorized endpoint access and possibly a denial of service.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) io.quarkus:quarkus-csrf-reactive < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven) io.quarkus:quarkus-keycloak-authorization < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven) io.quarkus:quarkus-undertow < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven) io.quarkus:quarkus-vertx-http < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-148, CWE-863
Platforma
Java / Kotlin (Maven)
Paczka
io.quarkus:quarkus-csrf-reactive, io.quarkus:quarkus-keycloak-authorization, io.quarkus:quarkus-undertow
Ujawniono
20.09.2023
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4f4r-wgv2-jjvg - CC BY 4.0

Historia podatności: io.quarkus:quarkus-vertx-http

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
5
Pierwsza → ostatnia
12.2022 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 4
  • Średnia 1

Ujawnienia w latach

  1. Quarkus: Authentication/Authorization Bypass via Advanced Path Normalization Vulnerabilities
    Wysoka · 7.5 CVE-2026-50559 < 3.20.6.2, >= 3.21.0.CR1, < 3.27.4.1, >= 3.28.0.CR1, < 3.33.2.1, >= 3.34.0.CR1, < 3.36.3, >= 3.37.0.CR1, < 3.37.0 3.20.6.2, 3.27.4.1, 3.33.2.1, 3.36.3, 3.37.0
  2. Quarkus has Authentication/Authorization bypasses
    Wysoka · 8.2 CVE-2026-39852 < 3.20.6.1, >= 3.21.0, < 3.27.3.1, >= 3.30.0, < 3.33.1.1, >= 3.34.0, < 3.35.1.1 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1
  3. Quarkus HTTP vulnerable to incorrect evaluation of permissions ten wpis
    Wysoka · 8.1 CVE-2023-4853 < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3
  4. Cross-site Scripting in Quarkus
    Średnia · 6.1 CVE-2023-0044 < 2.13.7.Final 2.13.7.Final
  5. Quarkus CORS filter allows simple GET and POST requests with an invalid Origin to proceed
    Wysoka · 7.5 CVE-2022-4147 >= 2.14.0.CR1, < 2.14.2.Final, < 2.13.5.Final 2.14.2.Final, 2.13.5.Final

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.