CVE-2026-27971criticalexploração observadaCWE-502

CVE-2026-27971: falha crítica em QwikDev qwik

Qwik affected by unauthenticated RCE via server$ Deserialization

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar qwik+ Monitorar @builder.io/qwik

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

85Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.2epss 5.5%
da publicação à arma140 dias
Publicada no NVD3 de mar.
1ª PoC+140d
VulnCheck+29d
Qwik is a performance focused javascript framework. qwik <=1.19.0 is vulnerable to RCE due to an unsafe deserialization vulnerability in the server$ RPC mechanism that allows any unauthenticated user to execute arbitrary code on the server with a single HTTP request. Affects any deployment where require() is available at runtime. This vulnerability is fixed in 1.19.1.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
QwikDev · qwik
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — QwikDev qwik

No mesmo produto, das mais perigosas para as menos.

CVE-2026-25150CRITICALPrototype Pollution via FormData Processing in Qwik CityEPSS 0.7%CVE-2026-84994HIGHQwik: Crashing any Qwik Server via Resource thenableEPSS 0.5%CVE-2024-41677MEDIUMCross-site Scripting (XSS) vulnerability due to improper HTML escaping in qwikEPSS 0.5%CVE-2026-32701HIGHQwik has array method pollution in FormData processing, allowing type confusion and DoSEPSS 0.5%CVE-2025-53620CRITICALCrashing any Qwik ServerEPSS 0.4%CVE-2026-25148MEDIUMQwik SSR XSS via Unsafe Virtual Node SerializationEPSS 0.3%