Aller au contenu
Se connecter
6.1 Moyenne

CVE-2026-93432 Io.quarkus.qute:quarkus-core: cross-site scripting (xss) and json injection via qute {#eval} section in quarkus

Description

A flaw was found in the Quarkus Qute template engine. When the {#eval} section helper processes a sub-template, it fails to pass the parent template's content type information. This bypasses standard escaping mechanisms, allowing untrusted data to be output as raw, unescaped text. This vulnerability can lead to Cross-Site Scripting (XSS) and JSON Injection, potentially allowing a remote attacker to execute arbitrary code in a user's browser or manipulate data.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Aucun
Interaction
Requise
Portée
Modifiée
Confidentialité
Faible
Intégrité
Faible
Disponibilité
Aucun

Produits et versions touchés

Produit Versions touchées Corrigé en
Exploit Intelligence Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3 Versions non publiées
Red Hat build of Apicurio Registry 3 Versions non publiées
Red Hat Build of Keycloak Versions non publiées
Red Hat build of Quarkus Versions non publiées
Red Hat Fuse 7 Versions non publiées
Red Hat build of Quarkus 3.27.6.redhat 3.27 premières → < 3.27.6.redhat-00004 3.27.6.redhat-00004
Red Hat build of Quarkus 3.33.4.redhat 3.33 premières → < 3.33.4.redhat-00004 3.33.4.redhat-00004
Red Hat Build of Apache Camel 3.33.4.redhat 3.33 premières → < 3.33.4.redhat-00004 3.33.4.redhat-00004

Autres CVE de Exploit Intelligence

Les 29 CVE de Exploit Intelligence →
CVE-2026-121837 Quarkus-rest-data-panache: quarkus-rest-data-panache: getter-level @securefield ignored for filter and sort 4.3 Moyenne CVE-2026-107912 Io.quarkus/quarkus-vertx-http: quarkus-vertx-http: authorization bypass in management interface via path concatenation flaw 7.7 Élevée CVE-2026-114236 Podman: goroutine/file-descriptor leak in storage/pkg/archive.applylayer and applyuncompressedlayer on malformed layers 3.3 Faible CVE-2026-87744 A flaw was found in Quarkus REST Data Panache 9.1 Critique
Suivre cette CVE