CVE-2026-12894

CVE.org · Publicado

Histórico de CVEs JSON Instruções para IA

Status do registro: Publicado
Ano do identificador (não é o ano de publicação): 2026
Publicação na fonte: 31 de ago. de 2026
Atualização na fonte: 20 de out. de 2026
Importado pelo cveboard: 24 de out. de 2026
Snapshot da fonte: cve_2026-10-24_midnight_baseline · 24 de out. de 2026

Texto da CNA em inglês

Io.quarkus:quarkus-qute: quarkus-qute:server-side template injection (ssti) vulnerability in reflectionvalueresolver of the quarkus qute template engine

A flaw was found in the Qute template engine, which is used by Quarkus to generate dynamic content like HTML pages or emails. The issue exists in the component responsible for looking up data values (ReflectionValueResolver), which fails to properly block access to sensitive Java internal functions when processing certain data types like Enums. An attacker who can provide or influence the template text can exploit this bypass to take control of the server by executing unauthorized commands.

Fatos de produtos e versões por escopo

Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.

Exploração desconhecida; este catálogo não avalia exploração.

quarkus-qute

Fornecedor: Quarkus
Produto: quarkus-qute
Plataformas: Desconhecido
Status padrão: unaffected
Pacote: io.quarkus:quarkus-qute
Coleção do pacote: https://repo1.maven.org/maven2

quarkus-qute · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
3.27.0	`affected`	semver	3.27.5.SP1	Indisponível	Nenhuma listada
3.33.0	`affected`	semver	3.33.3.SP1	Indisponível	Nenhuma listada

Red Hat Build of Apache Camel 3.33.3.SP1

Fornecedor: Red Hat
Produto: Red Hat Build of Apache Camel 3.33.3.SP1
Plataformas: Desconhecido
Status padrão: affected
Pacote: io.quarkus/quarkus-qute
Coleção do pacote: https://access.redhat.com/downloads/content/package-browser/

Red Hat Build of Apache Camel 3.33.3.SP1 · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
3.33.3.redhat-00005	`unaffected`	rpm	*	Indisponível	Nenhuma listada

Red Hat build of Quarkus 3.27.5.SP1

Fornecedor: Red Hat
Produto: Red Hat build of Quarkus 3.27.5.SP1
Plataformas: Desconhecido
Status padrão: affected
Pacote: io.quarkus/quarkus-qute
Coleção do pacote: https://access.redhat.com/jbossnetwork/restricted/listSoftware.html

Red Hat build of Quarkus 3.27.5.SP1 · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
3.27.5.redhat-00004	`unaffected`	rpm	*	Indisponível	Nenhuma listada

Red Hat build of Quarkus 3.33.3.SP1

Fornecedor: Red Hat
Produto: Red Hat build of Quarkus 3.33.3.SP1
Plataformas: Desconhecido
Status padrão: affected
Pacote: io.quarkus/quarkus-qute
Coleção do pacote: https://access.redhat.com/jbossnetwork/restricted/listSoftware.html

Red Hat build of Quarkus 3.33.3.SP1 · Fatos de produtos e versões por escopo
Versão (version)	Status (status)	Esquema de versões (versionType)	Fim exclusivo (lessThan)	Fim inclusivo (lessThanOrEqual)	Mudanças de status (at → status)
3.33.3.redhat-00005	`unaffected`	rpm	*	Indisponível	Nenhuma listada