Alta

Quarkus HTTP vulnerable to incorrect evaluation of permissions

Publicada: 20.09.2023
Actualizado: 11.10.2026 12:21

A flaw was found in Quarkus where HTTP security policies are not sanitizing certain character permutations correctly when accepting requests, resulting in incorrect evaluation of permissions. This issue could allow an attacker to bypass the security policy altogether, resulting in unauthorized endpoint access and possibly a denial of service.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	io.quarkus:quarkus-csrf-reactive	< 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3	2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven)	io.quarkus:quarkus-keycloak-authorization	< 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3	2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven)	io.quarkus:quarkus-undertow	< 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3	2.16.11.Final, 3.2.6.Final, 3.3.3
Java / Kotlin (Maven)	io.quarkus:quarkus-vertx-http	< 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3	2.16.11.Final, 3.2.6.Final, 3.3.3

Referencias

Puntuación CVSS 8.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-148, CWE-863
Plataforma: Java / Kotlin (Maven)
Paquete: io.quarkus:quarkus-csrf-reactive, io.quarkus:quarkus-keycloak-authorization, io.quarkus:quarkus-undertow
Publicada: 20.09.2023
Actualizado: 11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4f4r-wgv2-jjvg - CC BY 4.0

Historial de vulnerabilidades: io.quarkus:quarkus-vertx-http

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 12.2022 07.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 4
Media 1

Divulgaciones por año

2022: 1
2023: 2
2024: 0
2025: 0
2026: 2

29.07.2026

Quarkus: Authentication/Authorization Bypass via Advanced Path Normalization Vulnerabilities

Alta · 7.5 CVE-2026-50559 < 3.20.6.2, >= 3.21.0.CR1, < 3.27.4.1, >= 3.28.0.CR1, < 3.33.2.1, >= 3.34.0.CR1, < 3.36.3, >= 3.37.0.CR1, < 3.37.0 3.20.6.2, 3.27.4.1, 3.33.2.1, 3.36.3, 3.37.0
04.05.2026

Quarkus has Authentication/Authorization bypasses

Alta · 8.2 CVE-2026-39852 < 3.20.6.1, >= 3.21.0, < 3.27.3.1, >= 3.30.0, < 3.33.1.1, >= 3.34.0, < 3.35.1.1 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1
20.09.2023

Quarkus HTTP vulnerable to incorrect evaluation of permissions esta entrada

Alta · 8.1 CVE-2023-4853 < 2.16.11.Final, >= 3.0.0, < 3.2.6.Final, >= 3.3.0, < 3.3.3 2.16.11.Final, 3.2.6.Final, 3.3.3
23.02.2023

Cross-site Scripting in Quarkus

Media · 6.1 CVE-2023-0044 < 2.13.7.Final 2.13.7.Final
06.12.2022

Quarkus CORS filter allows simple GET and POST requests with an invalid Origin to proceed

Alta · 7.5 CVE-2022-4147 >= 2.14.0.CR1, < 2.14.2.Final, < 2.13.5.Final 2.14.2.Final, 2.13.5.Final

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación