7.5

CVE-2026-87743

Quarkus-vertx-http: authorization bypass via path normalization discrepancy in quarkus http security

A flaw was found in Quarkus HTTP security. An unauthenticated attacker can exploit a discrepancy in how paths are normalized between the security matcher and HTTP request dispatchers. This allows the attacker to craft a URL that the security matcher considers public, but which is then routed to a protected endpoint, leading to an authorization bypass and potential unauthorized access to sensitive information.
Daten sind bereitgestellt durch das CVE Programm von einer CVE Numbering Authority (CNA) (Unstrukturiert).
HerstellerRed Hat
≫
Produkt Red Hat build of Quarkus 3.27.5.SP2
Default Statusunaffected
HerstellerRed Hat
≫
Produkt Red Hat build of Quarkus 3.33.3.SP2
Default Statusunaffected
HerstellerRed Hat
≫
Produkt Exploit Intelligence
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt OpenShift Serverless
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat build of Apache Camel 4 for Quarkus 3
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat build of Apicurio Registry 3
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat build of Debezium 3
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Build of Keycloak
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Build of Keycloak
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Build of Keycloak
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Build of Keycloak
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Build of Keycloak
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat Fuse 7
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat OpenShift AI (RHOAI)
Default Statusunknown
HerstellerRed Hat
≫
Produkt Red Hat OpenShift Dev Spaces
Default Statusaffected
VulnDex Vulnerability Enrichment
Diese Information steht angemeldeten Benutzern zur Verfügung. Login Login
Zu dieser CVE wurde keine Warnung gefunden.
EPSS Metriken
Typ Quelle Score Percentile
EPSS FIRST.org 0.43% 0.368
CVSS Metriken
Quelle Base Score Exploit Score Impact Score Vector String
RedHat 7.5 3.9 3.6
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-551 Incorrect Behavior Order: Authorization Before Parsing and Canonicalization

If a web server does not fully parse requested URLs before it examines them for authorization, it may be possible for an attacker to bypass authorization protection.

https://access.redhat.com/security/cve/CVE-2026-87743
https://bugzilla.redhat.com/show_bug.cgi?id=2530523
https://access.redhat.com/errata/RHSA-2026:69470
https://access.redhat.com/errata/RHSA-2026:69440