CVE-2026-121837— Quarkus-rest-data-panache 过滤器与排序忽略@securefield 漏洞
一分钟漏洞结论
影响对象
Red Hat Exploit Intelligence
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 Quarkus 的 REST Data Panache 组件中发现了一个安全缺陷。当使用 注解在实体属性的 getter 方法（而非属性字段本身）上应用安全约束时，生成的 REST 资源无法在过滤和排序操作中正确执行该约束。这导致已认证用户可以通过观察哪些记录符合特定过滤条件，或记录如何排序，从而推断出敏感数据的值，尽管这些值并未出现在最终响应中。
可能的 ATT&CK 技术 1 AI
T1203 · Exploitation for Client Execution
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-121837 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Quarkus-rest-data-panache: quarkus-rest-data-panache: getter-level @securefield ignored for filter and sort
来源: CVE Program / CVE List V5
Vulnerability Description
A flaw was found in the REST Data Panache component of Quarkus. When a security constraint is applied to an entity property using the @SecureField annotation on its getter method rather than the field itself, the generated REST resource fails to enforce this constraint for filtering and sorting operations. This allows an authenticated user to infer sensitive data values by observing which records match specific filter criteria or how they are ordered, even though the values are omitted from the final response.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Red Hat | Exploit Intelligence | - |
cpe:/a:redhat:exploit_intelligence:0
|
|
| Red Hat | Red Hat build of Quarkus | - |
cpe:/a:redhat:quarkus:3
|
|
二、漏洞 CVE-2026-121837 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-121837 的情报信息
请登录查看更多情报信息。
CVE-2026-121837 其他参考 (2)
同批安全公告 · Red Hat · 2026-11-06 · 共 15 条
| CVE-2026-109081 | 6.8 MEDIUM | Keycloak-services 通过 DCR 端点注入 realm 默认角色漏洞 |
| CVE-2026-19688 | 6.8 MEDIUM | Keycloak 管理员 API 缺少受众检查漏洞 |
| CVE-2026-123037 | 6.7 MEDIUM | Ansible-core user 模块 SSH 密钥生成本地提权漏洞 |
| CVE-2026-96547 | 6.5 MEDIUM | Keycloak-services DCR 注册时间声明路径差异伪造角色漏洞 |
| CVE-2026-97848 | 6.5 MEDIUM | Keycloak-services 协议映射器 JSON 类型绕过令牌清理漏洞 |
| CVE-2026-9797 | 6.5 MEDIUM | Keycloak 认证管理员权限提升漏洞 |
| CVE-2026-107124 | 6.4 MEDIUM | Keycloak OIDC 登出端点会话固定导致账户接管漏洞 |
| CVE-2026-97367 | 6.4 MEDIUM | Keycloak 服务 DCRAzpSID 替换导致会话劫持漏洞 |
| CVE-2026-120749 | 6.2 MEDIUM | Dbus dbus-daemon 拒绝服务漏洞 |
| CVE-2026-96460 | 5.4 MEDIUM | Keycloak-services 令牌无限续期漏洞 |
| CVE-2026-92856 | 4.9 MEDIUM | Keycloak 忽略 SAML 代理限制委托约束漏洞 |
| CVE-2026-96447 | 4.2 MEDIUM | Keycloak 身份重绑定漏洞 |
| CVE-2026-83493 | GitHub Actions 依赖未固定导致远程代码执行漏洞 | |
| CVE-2026-83494 | Kubeflow 1.7 训练算子绕过不可变校验漏洞 |