7.7 Élevée

CVE-2026-107912 Io.quarkus/quarkus-vertx-http: quarkus-vertx-http: authorization bypass in management interface via path concatenation flaw

Description

A flaw was found in the management interface of the Quarkus framework, specifically within the quarkus-vertx-http component. The issue occurs when the framework incorrectly combines the management root path with specific permission rules, leading to a situation where security policies are applied to the wrong internal paths. As a result, an attacker can bypass intended authorization checks and gain unauthorized access to sensitive management endpoints.

Détail CVSS 3.1

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Exploitable avec un accès local à la machine, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Local
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Exploit Intelligence	Versions non publiées
OpenShift Serverless	Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3	Versions non publiées
Red Hat build of Apicurio Registry 3	Versions non publiées
Red Hat build of Debezium 3	Versions non publiées
Red Hat Build of Keycloak	Versions non publiées
Red Hat build of Quarkus	Versions non publiées
Red Hat Fuse 7	Versions non publiées
Red Hat OpenShift AI (RHOAI)	Versions non publiées

Afficher l’autre branche

Produit	Versions touchées	Corrigé en
Red Hat OpenShift Dev Spaces	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2548364 bugzilla.redhat.com

Chronologie

Publiée 5 novembre 2026
Dernière modification 5 novembre 2026

Les 29 CVE de Exploit Intelligence →

CVE-2026-121837 Quarkus-rest-data-panache: quarkus-rest-data-panache: getter-level @securefield ignored for filter and sort 4.3 Moyenne CVE-2026-114236 storage/pkg/archive.ApplyLayer and ApplyUncompressedLayer may, when processing corrupt or malicious inputs, leak a… 3.3 Faible CVE-2026-87744 A flaw was found in Quarkus REST Data Panache 9.1 Critique CVE-2026-94451 Quarkus REST Data Panache provides a way to automatically generate REST endpoints for data entities 6.5 Moyenne

Suivre cette CVE