Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-87744 Falta de autorización en Quarkus REST Data Panache por anotaciones de seguridad omitidas

Una falla en Quarkus REST Data Panache permite a atacantes no autenticados evadir los controles de seguridad en los endpoints generados. Cuando un desarrollador personaliza una operación con @MethodProperties sin volver a declarar explícitamente los roles de seguridad, el generador de código omite silenciosamente los requisitos de seguridad a nivel de clase, y el endpoint afectado queda con acceso permisivo y no autenticado, lo que puede provocar divulgación de información o modificación de datos no autorizadas.

Alerta de Nureq Monitor

Detectada 12 OCT · 16:39

CVSS 3.1

9.1CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 32

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-87744

Una falla en Quarkus REST Data Panache permite a atacantes no autenticados evadir los controles de seguridad en los endpoints generados. Cuando un desarrollador personaliza una operación con @MethodProperties sin volver a declarar explícitamente los roles de seguridad, el generador de código omite silenciosamente los requisitos de seguridad a nivel de clase, y el endpoint afectado queda con acceso permisivo y no autenticado, lo que puede provocar divulgación de información o modificación de datos no autorizadas.

Productos y versiones afectadas

  • Red Hat Red Hat build of Quarkus 3.27.6.redhat

    Versiones no especificadas.

  • Red Hat Red Hat build of Quarkus 3.33.4.redhat

    Versiones no especificadas.

  • Red Hat Exploit Intelligence

    Versiones no especificadas.

Qué hacer

  1. Verificá si usás Red Hat build of Quarkus 3.27.6.redhat.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

A flaw was found in Quarkus REST Data Panache. This vulnerability allows unauthenticated attackers to bypass security controls on generated endpoints. When a developer customizes a specific operation using @MethodProperties without explicitly re-declaring security roles, the code generator silently drops class-level security requirements. This results in the affected endpoint defaulting to permissive, unauthenticated access, potentially leading to unauthorized information disclosure or data modification.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.