Quarkus-rest-data-panache: quarkus-rest-data-panache: getter-level @securefield ignored for filter and sort

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

A flaw was found in the REST Data Panache component of Quarkus. When a security constraint is applied to an entity property using the @SecureField annotation on its getter method rather than the field itself, the generated REST resource fails to enforce this constraint for filtering and sorting operations. This allows an authenticated user to infer sensitive data values by observing which records match specific filter criteria or how they are ordered, even though the values are omitted from the final response.

Etkilenen sürümler2 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• bugzilla.redhat.com/show_bug.cgi Üçüncü taraf
• access.redhat.com/security/cve/CVE-2026-121837 Diğer

Kayıt geçmişi

1. 6 Kas 2026 08:39Yayımlandı

İlgili açıklar

• 7,7 CVE-2026-107912Quarkus quarkus-vertx-http bileşeninde yönetim arayüzünde yetkilendirme atlatma açığı
• 5,3 CVE-2026-120971Org.jboss.resteasy/resteasy-core: resteasy: information disclosure through default exception mapper responses
• 3,3 CVE-2026-114236Podman storage/pkg/archive katmanı işlenirken dosya tanımlayıcı sızıntısı
• 9,0 CVE-2026-63017Subnet Solutions PowerSYSTEM Center'da yetkisiz erişime yol açan yetki kontrolü hatası
• 6,5 CVE-2026-102943Dagu MCP DAG specification read bypasses path containment and workspace isolation
• 7,2 CVE-2026-88984Kubeflow Pipelines: paylaşılan pipeline'larda RBAC atlatma, global pipeline'ların silinmesi/değiştirilmesi