CVE-2026-39852 in io.quarkus:quarkus-vertx-http
الملخص
بحسب VulDB • 10/05/2026
Quarkus هو إطار عمل جافا (Java) لبناء التطبيقات الأصلية للسحابة (cloud-native). في الإصدارات السابقة لـ 3.20.6.1، و3.27.3.1، و3.33.1.1، و3.35.1.1، و3.34.7، و3.35.2، يسمح عدم اتساق تطبيع المسار (path normalization) بين طبقة الأمان وطبقة التوجيه (routing layer) للمستخدمين غير المصادق عليهم أو ذوي الصلاحيات الأقل بتجاوز سياسات التفويض المستندة إلى مسار HTTP. تقوم طبقة الأمان في Quarkus بإجراء فحوصات التفويض على مسار URL الخام الذي يحافظ على المعلمات المصفوفية (الفواصل المنقوطة)، بينما تقوم طبقة التوجيه في RESTEasy Reactive بإزالة المعلمات المصفوفية قبل مطابقة نقاط النهاية (endpoints). يمكن لمهاجم إلحاق فاصلة منقوطة ونص عشوائي بعنوان URL للطلب (على سبيل المثال، /api/admin;anything) لتجاوز السياسات التي تحمي /api/admin مع الاستمرار في التوجيه إلى نقطة النهاية المحمية. تم إصلاح هذه المشكلة في الإصدارات 3.20.6.1، و3.27.3.1، و3.33.1.1، و3.35.1.1، و3.34.7، و3.35.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.