PT-2026-36916
CVE-2026-39852
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Quarkus الإصدار 3.32.4
الوصف
توجد ثغرة في نظام التفويض تسمح للفاصلة المنقوطة (؛) المستخدمة كمعلمات مصفوفة في طلبات HTTP بالالتفاف على القيود الأمنية، مما قد يؤدي إلى منح وصول غير مصرح به إلى الموارد المحمية. يمكن للمستخدمين غير المصادق عليهم أو ذوي الامتيازات الأقل تجاوز سياسات المصادقة المستندة إلى مسار HTTP عن طريق إضافة فاصلة منقوطة (
;) ونص عشوائي إلى عنوان URL للطلب. يحدث هذا بسبب عدم اتساق تطبيع المسار: حيث تقوم طبقة الأمان بإجراء فحوصات المصادقة على مسار عنوان URL الخام، بينما تقوم طبقة التوجيه RESTEasy Reactive بإزالة معلمات المصفوفة قبل مطابقة نقاط النهاية. ونتيجةً لذلك، قد يتجاوز طلب موجه إلى نقطة نهاية مثل ”/api/admin;anything“ السياسات التي تحمي ”/api/admin“ مع استمرار توجيهه إلى تلك النقطة النهائية المحمية.التوصيات
تحديث إصدار Quarkus 3.32.4 إلى إصدار تم تصحيحه.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾