7.5
Élevée
CVE-2026-50559 Quarkus is a Java framework for building cloud-native applications
Description
Quarkus is a Java framework for building cloud-native applications. Prior to versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2, Quarkus HTTP path-based authorization policies can be bypassed using encoded semicolons (%3B) to smuggle matrix parameters past the security layer, and using encoded slashes (%2F) or backslashes (%5C) to access protected static resources. This is a distinct issue from CVE-2026-39852, which addressed only literal semicolon stripping. Versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2 contain a patch.
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| quarkus 3.36 | 3.36.0 → < 3.36.3 | 3.36.3 |
| quarkus 3.33 | 3.33.0 → < 3.33.2.1 | 3.33.2.1 |
| quarkus 3.27 | 3.27.0 → < 3.27.4.1 | 3.27.4.1 |
| quarkus 3.20 | premières → < 3.20.6.2 | 3.20.6.2 |
| Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1 | Versions non publiées | |
| Red Hat build of Quarkus 3.20.6.SP2 | Versions non publiées | |
| Red Hat build of Quarkus 3.27.4.SP1 | Versions non publiées | |
| Red Hat build of Quarkus 3.33.2.SP1 | Versions non publiées | |
| Cryostat 4 | Versions non publiées |
Afficher les 15 autres branches Masquer les 15 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| OpenShift Serverless | Versions non publiées | |
| Red Hat build of Apache Camel - HawtIO 4 | Versions non publiées | |
| Red Hat build of Apache Camel 4 for Quarkus 3 | Versions non publiées | |
| Red Hat build of Apicurio Registry 3 | Versions non publiées | |
| Red Hat build of Debezium 3 | Versions non publiées | |
| Red Hat Fuse 7 | Versions non publiées | |
| Red Hat JBoss Enterprise Application Platform Expansion Pack | Versions non publiées | |
| Red Hat OpenShift AI (RHOAI) | Versions non publiées | |
| Red Hat OpenShift Dev Spaces | Versions non publiées | |
| streams for Apache Kafka 2 | Versions non publiées | |
| streams for Apache Kafka 3 | Versions non publiées | |
| Red Hat Build of Keycloak | Versions non publiées | |
| Streams for Apache Kafka 2.9.4 | Versions non publiées | |
| Red Hat OpenShift Dev Spaces 3.29 1782989027 | premières → < 1782989027 | 1782989027 |
| Cryostat 4 on RHEL 9 4.2 | premières → < 4.2.0-13 | 4.2.0-13 |
Références
- github.com github.com
Chronologie
- Publiée
- Dernière modification
Autres CVE de quarkus
Les 4 CVE de quarkus →
CVE-2026-39852
Quarkus is a Java framework for building cloud-native applications
8.8
Élevée
CVE-2025-66560
Quarkus is a Cloud Native, (Linux) Container First framework for writing Java applications
5.9
Moyenne
CVE-2025-49574
Quarkus is a Cloud Native, (Linux) Container First framework for writing Java applications
6.4
Moyenne