‹ Volver al listado

CVE-2026-94451

Estado: Pendiente de análisisMedia (6.5)—
Gravedad6.5Media · CVSS 3.1
Probabilidad de explotación0.27 %mayor que el 18 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Quarkus REST Data Panache proporciona una forma de generar automáticamente puntos finales REST para entidades de datos. Se encontró un fallo donde ciertos puntos finales no comprueban adecuadamente el parámetro de clasificación proporcionado por los usuarios. Esto podría permitir a un atacante obtener información a la que no debería tener acceso o ralentizar el sistema forzando a la base de datos a realizar tareas complejas, lo que podría causar una denegación de servicio.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
6.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.27 %
Percentil entre todas las CVEs puntuadas
18
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en endpoint REST expuesto sin autenticación (AV:N/PR:N/UI:N). El parámetro sort sin validación permite lectura no autorizada de datos (C:L) y DoS por consultas complejas (A:L).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Quarkus — Quarkus Rest Data PanacheAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-94451",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-94451",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T02:55:56.121203Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "secalert@redhat.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "LOW",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.5,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "secalert@redhat.com",
      "affectedData": [
        {
          "cpes": [
            "cpe:/a:redhat:quarkus:3.27::el8"
          ],
          "vendor": "Red Hat",
          "product": "Red Hat build of Quarkus 3.27.6.redhat",
          "versions": [
            {
              "status": "unaffected",
              "version": "3.27.6.redhat-00004",
              "lessThan": "*",
              "versionType": "rpm"
            }
          ],
          "packageName": "io.quarkus/quarkus-hibernate-orm-rest-data-panache",
          "collectionURL": "https://access.redhat.com/jbossnetwork/restricted/listSoftware.html",
          "defaultStatus": "affected"
        },
        {
          "cpes": [
            "cpe:/a:redhat:quarkus:3.33::el8"
          ],
          "vendor": "Red Hat",
          "product": "Red Hat build of Quarkus 3.33.4.redhat",
          "versions": [
            {
              "status": "unaffected",
              "version": "3.33.4.redhat-00004",
              "lessThan": "*",
              "versionType": "rpm"
            }
          ],
          "packageName": "io.quarkus/quarkus-hibernate-orm-rest-data-panache",
          "collectionURL": "https://access.redhat.com/jbossnetwork/restricted/listSoftware.html",
          "defaultStatus": "affected"
        },
        {
          "cpes": [
            "cpe:/a:redhat:exploit_intelligence:0"
          ],
          "vendor": "Red Hat",
          "product": "Exploit Intelligence",
          "packageName": "exploit-intelligence/agent-client-rhel9",
          "collectionURL": "https://access.redhat.com/downloads/content/package-browser/",
          "defaultStatus": "unknown"
        }
      ]
    }
  ],
  "published": "2026-10-12T17:17:38.513",
  "references": [
    {
      "url": "https://access.redhat.com/errata/RHSA-2026:83082",
      "source": "secalert@redhat.com"
    },
    {
      "url": "https://access.redhat.com/errata/RHSA-2026:83520",
      "source": "secalert@redhat.com"
    },
    {
      "url": "https://access.redhat.com/security/cve/CVE-2026-94451",
      "source": "secalert@redhat.com"
    },
    {
      "url": "https://bugzilla.redhat.com/show_bug.cgi?id=2537516",
      "source": "secalert@redhat.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "secalert@redhat.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-20"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Quarkus REST Data Panache provides a way to automatically generate REST endpoints for data entities. A flaw was found where certain endpoints do not properly check the sort parameter provided by users. This could allow an attacker to learn information they should not have access to or slow down the system by forcing the database to perform complex tasks, potentially causing a denial of service."
    }
  ],
  "lastModified": "2026-10-16T00:17:07.853",
  "sourceIdentifier": "secalert@redhat.com"
}