CVE-2026-120971 Exposición de información en el mapeador de excepciones por defecto de RESTEasy
Se encontró una falla en el mapeador de excepciones por defecto de RESTEasy: cuando una excepción no manejada distinta de WebApplicationException no es procesada por un mapeador de excepciones de la aplicación, RESTEasy devuelve el mensaje localizado de la excepción en el cuerpo de la respuesta HTTP 500. Un atacante remoto no autenticado que pueda provocar esa excepción podría obtener información contenida en ese mensaje. El comportamiento se reprodujo con RESTEasy 7.0.2.Final.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 28
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Red Hat Red Hat build of Apache Camel 4 for Quarkus 3
Versiones no especificadas.
Red Hat Red Hat build of Apicurio Registry 3
Versiones no especificadas.
Red Hat Red Hat build of Debezium 3
Versiones no especificadas.
Red Hat Red Hat Build of Keycloak
Versiones no especificadas.
Red Hat Red Hat build of Quarkus
Versiones no especificadas.
Red Hat Red Hat Fuse 7
Versiones no especificadas.
Red Hat Red Hat JBoss Enterprise Application Platform 8
Versiones no especificadas.
Red Hat Red Hat JBoss Enterprise Application Platform Expansion Pack
Versiones no especificadas.
Red Hat Red Hat Satellite 6
Versiones no especificadas.
Qué hacer
- Verificá si usás Red Hat build of Apache Camel 4 for Quarkus 3.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
A flaw was found in RESTEasy's default exception mapper. When an unhandled exception other than a WebApplicationException is not handled by an application exception mapper, RESTEasy returns the exception's localized message in the HTTP 500 response body. A remote unauthenticated attacker who can trigger such an exception may obtain information contained in that message. The behavior was reproduced with RESTEasy 7.0.2.Final.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.