4.3 Moyenne

CVE-2026-121837 Quarkus-rest-data-panache: quarkus-rest-data-panache: getter-level @securefield ignored for filter and sort

Description

A flaw was found in the REST Data Panache component of Quarkus. When a security constraint is applied to an entity property using the @SecureField annotation on its getter method rather than the field itself, the generated REST resource fails to enforce this constraint for filtering and sorting operations. This allows an authenticated user to infer sensitive data values by observing which records match specific filter criteria or how they are ordered, even though the values are omitted from the final response.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Faibles
Interaction: Aucune
Portée: Inchangée
Confidentialité: Faible
Intégrité: Aucun
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Exploit Intelligence	Versions non publiées
Red Hat build of Quarkus	Versions non publiées

Références

access.redhat.com access.redhat.com
RHBZ#2566744 bugzilla.redhat.com

Chronologie

Publiée 6 novembre 2026
Dernière modification 6 novembre 2026

Les 29 CVE de Exploit Intelligence →

CVE-2026-107912 Io.quarkus/quarkus-vertx-http: quarkus-vertx-http: authorization bypass in management interface via path concatenation flaw 7.7 Élevée CVE-2026-114236 storage/pkg/archive.ApplyLayer and ApplyUncompressedLayer may, when processing corrupt or malicious inputs, leak a… 3.3 Faible CVE-2026-87744 A flaw was found in Quarkus REST Data Panache 9.1 Critique CVE-2026-94451 Quarkus REST Data Panache provides a way to automatically generate REST endpoints for data entities 6.5 Moyenne

Suivre cette CVE