PT-2026-22844 · Qwik · Qwik

Sebastianosrt · Publicado 2026-03-02 · Atualizado 2026-03-25 · CVE-2026-27971

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Qwik até e incluindo a 1.19.0

Descrição O Qwik é suscetível à Execução Remota de Código (RCE) devido a um problema de desserialização insegura dentro do mecanismo RPC server$. Isso permite que qualquer usuário não autenticado execute código arbitrário no servidor com uma única requisição HTTP. O problema afeta implantações em que a função require() está disponível em tempo de execução. Foram identificados aproximadamente 46.000 serviços que utilizam o Qwik. O mecanismo RPC server$ é o componente diretamente envolvido neste problema.

Recomendações Atualize para a versão 1.19.1 do Qwik ou posterior.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-27971

GHSA-P9X5-JP3H-96MM

Produtos afetados

Qwik

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27971.json · Exploit
• https://github.com/QwikDev/qwik/security/advisories/GHSA-p9x5-jp3h-96mm · Aviso do Fabricante
• https://github.com/QwikDev/qwik · Nota
• https://github.com/QwikDev/qwik/releases/tag/%40builder.io%2Fqwik%401.19.1 · Nota
• https://t.me/proxy_bar/3196 · Publicação no Telegram
• https://twitter.com/vuln_tracker/status/2029016958616895716 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27971 · Aviso do Fabricante
• https://twitter.com/vuln_tracker/status/2031179310544073202 · Publicação no Twitter
• https://twitter.com/autumn_good_35/status/2029521752653717958 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-p9x5-jp3h-96mm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2028974429405896718 · Publicação no Twitter
• https://twitter.com/HunterMapping/status/2029107273507758191 · Publicação no Twitter
• https://twitter.com/Divert_Security/status/2036850603717013856 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2029014161506681130 · Publicação no Twitter
• https://t.me/CVEtracker/46260 · Publicação no Telegram