Quarkus 3.39.5: แพตช์บำรุงชุดใหญ่ รวม Hibernate JSON path และ Netty

อยู่สาย Quarkus 3.39 อย่าข้ามแพตช์นี้ครับ — เมื่อ 24 ก.ย. 2026 ทีมปล่อย 3.39.5 เป็น maintenance ที่เน้นบั๊กและความปลอดภัย

ตัวอย่าง CVE ที่บล็อกรายการไว้ (อ่านเต็มในโพสต์ทางการ):

CVE-2026-77874 Hibernate ORM — SQL injection ผ่าน JSON path segment ที่ไม่ escape
CVE-2026-19611 WildFly Elytron — ลด keyspace รหัสผ่านผ่าน NFKC folding
CVE-2026-81829 SmallRye JWT — SSRF ผ่าน kid ใน AwsAlbKeyResolver
CVE-2026-87742 / 87743 WebSockets Next และ Vert.x HTTP — DoS / authorization bypass ผ่าน path normalization
ชุด zstd-jni / Netty / RESTEasy / Qute อีกหลายรายการ (ทีมระบุว่า AI ช่วยพบ CVE จำนวนมาก และ Quarkus รวมคอมโพเนนต์เยอะ)

อัปด้วย quarkus update แล้วรันเทสต์ security path + native ตามที่โปรเจกต์ใช้

Recap