Qwik vulnerable to Unauthenticated RCE via server$ Deserialization

NGHIÊM TRỌNG 9.8CVE-2026-27971 · GHSA-p9x5-jp3h-96mm · Công bố 03/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-27971 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng qwik (qwik), @builder.io/qwik.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 5.5%, cao hơn 92.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.19.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
qwik qwik	`< 1.19.1`	`1.19.1`
@builder.io/qwik npm	`< 1.19.1`	`1.19.1`

Mô tả

Summary

qwik <=1.19.0 is vulnerable to RCE due to an unsafe deserialization vulnerability in the server$ RPC mechanism that allows any unauthenticated user to execute arbitrary code on the server with a single HTTP request. Affects any deployment where require() is available at runtime.

Impact

Remote Code Execution

Mô tả của NVD

Qwik is a performance focused javascript framework. qwik <=1.19.0 is vulnerable to RCE due to an unsafe deserialization vulnerability in the server$ RPC mechanism that allows any unauthenticated user to execute arbitrary code on the server with a single HTTP request. Affects any deployment where require() is available at runtime. This vulnerability is fixed in 1.19.1.