PT-2026-55903
CVE-2026-49086
·
تاريخ النشر
2026-06-09
·
تاريخ التحديث
2026-07-06
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Camel من 4.12.0 إلى 4.14.7
إصدارات Apache Camel من 4.15.0 إلى 4.18.2
إصدارات Apache Camel من 4.19.0 إلى 4.20.x
الوصف
توجد مشكلة تتعلق بالتحقق غير السليم من صحة المدخلات في مكون Apache Camel DAPR، وتحديدًا داخل
DaprPubSubConsumer. يقوم المكون بنسخ اسم مكون Pub/Sub والموضوع من CloudEvents الواردة إلى رؤوس Exchange CamelDaprPubSubName وCamelDaprTopic. ونظرًا لأن DaprConfigurationOptionsProxy يعطي الأولوية لهذه الرؤوس على الوجهة المُعدة مسبقًا أثناء إعادة النشر، فإن المهاجم القادر على نشر الرسائل إلى موضوع مشترك يمكنه التلاعب بهذه القيم. وهذا يسمح للمهاجم بإعادة توجيه الرسائل أو تسريبها إلى مكون وموضوع Dapr Pub/Sub عشوائيين، متجاوزًا التوجيه المقصود وضوابط الوصول على مستوى الموضوع. ويتطلب استغلال هذه الثغرة القدرة على النشر إلى الموضوع الذي يشترك فيه المسار.التوصيات
قم بالترقية إلى الإصدار 4.21.0.
قم بالترقية إلى الإصدار 4.14.8 لمن يستخدمون سلسلة إصدارات 4.14.x LTS.
قم بالترقية إلى الإصدار 4.18.3 لمن يستخدمون سلسلة إصدارات 4.18.x.
كإجراء تخفيفي مؤقت، قم بإزالة الرؤوس
CamelDaprPubSubName وCamelDaprTopic من عملية التبادل بين مستهلك Dapr وأي منتج Dapr في المسار.قم بتقييد أذونات النشر لموضوع Dapr Pub/Sub المشترك فيه على المنتجين الموثوق بهم فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾