Qwik: Denial of Service durch unbehandelte Rejection bei Ressourcen-Deserialisierung
Zusammenfassung
Qwik ist ein auf Performance ausgerichtetes JavaScript-Framework. Vor den korrigierten Versionen lehnte die serverseitige Standard-Deserialisierung von Ressourcendaten vom Angreifer kontrollierte Thenable-Objekte nicht ab. Eine nicht authentifizierte HTTP-Anfrage kann eine verwaiste asynchrone Rejection auslösen, die einen Node.js-Server unter der Standardrichtlinie für unbehandelte Rejections beendet. Eine einzelne Anfrage kann den Server zum Absturz bringen, und wiederholte Anfragen können Replikate dauerhaft nicht verfügbar machen. Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- @builder.io/qwik vor 1.20.0
- @qwik.dev/core vor 2.0.0-beta.37
Behoben in
- @builder.io/qwik 1.20.0
- @qwik.dev/core 2.0.0-beta.37
Umgehung
Unbekannt. In den Quellen ist kein Workaround dokumentiert. Das Aktualisieren ist die Massnahme.
Ausnutzung
- In den Quellen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Qwik-Projekte und Lockfiles auf @builder.io/qwik und @qwik.dev/core prüfen.
- Auf 1.20.0 oder 2.0.0-beta.37 oder neuer aktualisieren.
- Prüfen, ob eine auf Node.js gehostete Qwik-Anwendung aus dem Internet erreichbar ist.
- Node.js unter einem Process Supervisor betreiben, der abgestürzte Prozesse neu startet, und bei gehäuften Neustarts alarmieren.
- Die Exposition gegenüber nicht vertrauenswürdigem Datenverkehr einschränken, bis die Aktualisierung abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-x586-xvc8-g7q6 github.com
- Qwik release @builder.io/qwik@1.20.0 github.com
- Fix commit c1e7444402f9592b5cf9096e10bf303ab4640511 github.com
- Pull request #8655 github.com
- OSV entry CVE-2026-84994 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.