CVE-2026-71300

إصدارات Apache Camel من 4.0.0 إلى 4.14.8

إصدارات Apache Camel من 4.15.0 إلى 4.18.3

إصدارات Apache Camel من 4.19.0 إلى 4.21.9

يؤدي التحقق غير السليم من صحة المدخلات في مكون Apache Camel Atmosphere Websocket إلى السماح بحقن الرؤوس. يحدد منتج camel-atmosphere-websocket تسليم الرسائل إلى أقران WebSocket باستخدام رؤوس تبادل محددة: websocket.connectionKey، وwebsocket.connectionKey.list، وwebsocket.sendToAll، وwebsocket.eventType، وwebsocket.errorType. ونظرًا لأن هذه الرؤوس تقع خارج نطاق أسماء Camel الذي يتم تصفيته، فإن مستهلكي عائلة HTTP يقبلونها. في المسارات التي تربط مستهلك HTTP بمنتج atmosphere-websocket، يمكن لمرسل خارجي توفير هذه الرؤوس للتلاعب بقرارات التوزيع الخاصة بالمنتج. وقد يؤدي ذلك إلى حجب الإشعارات أو تسليمها إلى عميل غير مقصود. ويحدث هذا لأن الدالة WebsocketProducer.process() تعطي الأولوية لرأس القائمة على رأس المفتاح الفردي.

قم بالترقية إلى الإصدار 4.14.9 لمن يستخدمون سلسلة إصدارات 4.14.x LTS.

قم بالترقية إلى الإصدار 4.18.4 لمن يستخدمون سلسلة إصدارات 4.18.x.

قم بالترقية إلى الإصدار 4.22.0 لجميع الإصدارات الأخرى المتأثرة.

كإجراء تخفيفي مؤقت، قم بإزالة رؤوس الإرسال عند حدود الثقة قبل المنتج باستخدام removeHeaders(“websocket.*”) بين مستهلك HTTP ومنتج atmosphere-websocket.

تجنب ربط مستهلك HTTP غير موثوق به