جزئیات آسیب‌پذیری
CVE-2026-12894
Quarkus quarkus-quteRed Hat build of Apache Camel 4 for Quarkus 3
Io.quarkus:quarkus-qute: quarkus-qute:server-side template injection (ssti) vulnerability in reflectionvalueresolver of the quarkus qute template engine
CVSS 3.1
8.8بالا
شرح رسمی (انگلیسی)
A flaw was found in the Qute template engine, which is used by Quarkus to generate dynamic content like HTML pages or emails. The issue exists in the component responsible for looking up data values (ReflectionValueResolver), which fails to properly block access to sensitive Java internal functions when processing certain data types like Enums. An attacker who can provide or influence the template text can exploit this bypass to take control of the server by executing unauthorized commands.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Quarkus | quarkus-qute | 3.27.0 ≤ v < 3.27.5.SP1 | CVEProject cvelistV5 (CNA) |
| Quarkus | quarkus-qute | 3.33.0 ≤ v < 3.33.3.SP1 | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat build of Apache Camel 4 for Quarkus 3 | همه | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://access.redhat.com/errata/RHSA-2026:62515 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:62555 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:63302 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/security/cve/CVE-2026-12894 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2491319 issue-trackingx_refsource_REDHAT
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۰۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- redhat
پیش‌بینی بهره‌برداری (EPSS)
۰٫۹۶٪
احتمال بهره‌برداری در ۳۰ روز
۶۱٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-1336Improper Neutralization of Special Elements Used in a Template Engine