CVE-2026-87744
Io.quarkus:quarkus-hibernate-orm-rest-data-panache: missing authorization in quarkus rest data panache via dropped security annotations
Что произошло
A flaw was found in Quarkus REST Data Panache. This vulnerability allows unauthenticated attackers to bypass security controls on generated endpoints. When a developer customizes a specific operation using @MethodProperties without explicitly re-declaring security roles, the code generator silently drops class-level security requirements. This results in the affected endpoint defaulting to permissive, unauthenticated access, potentially leading to unauthorized information disclosure or data modification.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
To mitigate this issue, restrict network access to Quarkus applications utilizing REST Data Panache to trusted networks or localhost. This can be achieved by configuring firewall rules or network access controls to limit exposure of the affected endpoints. A restart of the application may be required for network configuration changes to take effect.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Red Hat / Red Hat build of Quarkus 3.27.6.redhat
{
"status": "unaffected",
"version": "3.27.6.redhat-00004",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:quarkus:3.27::el8
Red Hat / Red Hat build of Quarkus 3.33.4.redhat
{
"status": "unaffected",
"version": "3.33.4.redhat-00004",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:quarkus:3.33::el8
Red Hat / Exploit Intelligence
cpe:/a:redhat:exploit_intelligence:0
CVSS: оценки и векторы
CVSS 3.1 · cve9.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Классы CWE
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-03T21:15:38.021917+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T17:30:17.169162+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T17:30:17.169162+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T17:30:17.169162+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-03T21:15:38.021917+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T17:30:17.169162+00:00"
},
"workarounds": [
"cve"
],
"configurations": []
}Хронология записи
- Данные обновлены04.11.2026, 00:15
- Данные обновлены03.11.2026, 00:15
- Данные обновлены02.11.2026, 00:12
- Данные обновлены31.10.2026, 12:00
- Данные обновлены29.10.2026, 12:44
- Опубликована28.10.2026, 20:30
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-114236 Podman: goroutine/file-descriptor leak in storage/pkg/archive.applylayer and applyuncompressedlayer on malformed layers Red Hat / Confidential Compute Attestation · Red Hat / DPU kit for NVIDIA | Низкий | 3.3 | 0,1 % | 21.10.2026 | ||
| CVE-2026-87743 Quarkus-vertx-http: authorization bypass via path normalization discrepancy in quarkus http security Red Hat / Red Hat build of Quarkus 3.27.5.SP2 · Red Hat / Red Hat build of Quarkus 3.33.3.SP2 | Высокий | 7.5 | 0,52 % | 18.09.2026 | ||
| CVE-2026-42271 LiteLLM: Authenticated command execution via MCP stdio test endpoints BerriAI / litellm · Red Hat / Red Hat OpenShift AI 2.25 | Критический | 8.7 | 91,45 % | KEVПатч | 08.05.2026 | |
| CVE-2026-42203 LiteLLM: Server-Side Template Injection in /prompts/test endpoint BerriAI / litellm · Red Hat / Exploit Intelligence | Высокий | 8.6 | 0,37 % | Патч | 08.05.2026 | |
| CVE-2026-42338 ip-address: XSS in Address6 HTML-emitting methods beaugunderson / ip-address · Red Hat / Red Hat AMQ Broker 7.13.6 | Высокий | 5.3 | 0,47 % | PoC | 12.05.2026 |