Andrea Cosentino

**Nome do Software Vulnerável e Versões Afetadas** Apache Shiro versões 2.x até 3.0.0 **Description** Quando utilizado com o módulo de integração Jakarta EE, um usuário com baixos privilégios pode criar uma requisição HTTP que força o servidor a iniciar uma conexão com uma URL controlada por um atacante e transmitir dados controlados pelo atacante. **Recommendations** Atualize para a versão 3.0.1 ou posterior. Configure as propriedades de sistema `org.apache.shiro.form-resubmit-host` e `org.apache.shiro.form-resubmit-port` para restringir o host e a porta utilizados ao reenviar um formulário.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 2.17.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.x **Descrição** Uma validação de entrada inadequada no formato de dados `MimeMultipart` do componente `camel-mail` permite que um remetente injete cabeçalhos no Camel Exchange. Quando a variável `headersInline` está definida como true, o processo de unmarshal copia os cabeçalhos MIME da mensagem recebida para a mensagem Camel sem aplicar uma `HeaderFilterStrategy`. Um invasor pode fornecer cabeçalhos dentro do namespace interno do Camel para sobrescrever o comportamento configurado de componentes subsequentes. Por exemplo, o produtor `camel-sql` pode executar uma instrução fornecida via cabeçalho injetado. O impacto depende da configuração da rota após a etapa de unmarshal. Este problema ocorre apenas quando `headersInline` está habilitado. **Recomendações** Atualizar para a versão 4.22.0. Atualizar para a versão 4.14.9 para aqueles no fluxo LTS 4.14.x. Atualizar para a versão 4.18.4 para aqueles no fluxo 4.18.x. Definir a variável `headersInline` como false caso os cabeçalhos inline não sejam necessários. Utilizar `removeHeaders("Camel*")` imediatamente após a etapa de unmarshal para remover cabeçalhos internos do Camel antes que alcancem qualquer processador ou produtor. Evitar a desserialização (unmarshal) de conteúdo MIME de remetentes não confiáveis em rotas que realizam despacho com base em valores de cabeçalho. Tratar todos os nomes de cabeçalhos MIME provenientes de fora do limite de confiança como entradas não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.11.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.9 **Description** Uma validação de entrada inadequada no componente Undertow do Apache Camel ocorre porque o `UndertowEndpoint` define incorretamente seu campo `headerFilterStrategy` como a `HttpHeaderFilterStrategy` base. Esta ação sobrescreve a `UndertowHeaderStrategy` instalada pelo `DefaultUndertowHttpBinding`, fazendo com que a filtragem específica do undertow seja ignorada em rotas configuradas no endpoint. Consequentemente, o prefixo de cabeçalho de Exchange legado `websocket.` não é filtrado na fronteira de transporte. Isso permite que um consumidor HTTP do undertow mapeie cabeçalhos de rede recebidos no Exchange, que um produtor WebSocket do undertow pode então interpretar como diretivas de despacho para entregar mensagens a um peer não pretendido. Além disso, nomes de cabeçalhos rejeitados pelo undertow são mapeados no Exchange em vez de serem ignorados. Este problema não afeta consumidores de Rest DSL, pois eles utilizam a `UndertowRestHeaderFilterStrategy`. **Recommendations** Atualize para a versão 4.14.9 para aqueles na linha de versões LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles na linha de versões 4.18.x. Atualize para a versão 4.22.0. Como solução temporária, configure explicitamente a estratégia vinculando um `UndertowHeaderFilterStrategy` no registro e referenciando-o no endpoint, e utilize `removeHeaders("websocket.*")` para remover os cabeçalhos de despacho na fronteira de confiança.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.9 **Description** Um problema de travessia de caminho relativo (relative path traversal) existe no consumidor `camel-google-storage`. Quando a opção `downloadFileName` é utilizada, o consumidor baixa objetos do Google Cloud Storage para o sistema de arquivos local. Se o valor de `downloadFileName` não contiver um token de expressão, o sistema anexa o nome do objeto remoto ao caminho de destino usando o token `${file:name}`. Como esse token retorna o nome do arquivo verbatim, sem normalização lexical ou verificações de limite, um nome de objeto contendo segmentos de diretório pai (ex: ../) pode resolver para um local fora do diretório pretendido. Isso permite que um invasor que consiga controlar os nomes dos objetos no bucket consumido crie ou sobrescreva arquivos no sistema de arquivos local com os privilégios do processo Camel. **Recommendations** Atualize para a versão 4.22.0. Atualize para a versão 4.14.9 para aqueles na linha LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles na linha 4.18.x. Configure a opção `filter` com uma expressão regular que aceite apenas nomes de objetos simples de segmento único para excluir aqueles com separadores de caminho. Use uma expressão explícita para `downloadFileName` baseada em `${file:onlyname}` em vez do `${file:name}` implícito. Trate os nomes de objetos em buckets graváveis externamente como entradas não confiáveis e evite derivar caminhos de sistema de arquivos locais a partir deles.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.8.0 até 4.21.x Apache Camel versões 4.14.x até 4.14.8 Apache Camel versões 4.18.x até 4.18.3 **Description** Um problema de autenticação inadequada existe no componente Apache Camel Platform HTTP Main. Quando o servidor HTTP incorporado é configurado para autenticação JWT usando `authenticationEnabled` e propriedades de keystore JWT, a função `JWTAuthenticationConfigurer.buildJwtOptions()` pode retornar nulo se nem `jwtIssuer` nem `jwtAudience` estiverem configurados. Isso faz com que o sistema ignore a chamada `JWTAuthOptions.setJWTOptions()`, resultando em uma instância Vert.x JWTAuth que valida apenas a assinatura e a expiração do token. Consequentemente, as reivindicações de emissor (`iss`) e audiência (`aud`) não são validadas, permitindo que qualquer token não expirado assinado por uma chave confiável no keystore seja aceito, independentemente da audiência ou emissor pretendidos. Isso afeta tanto o servidor de aplicação quanto o servidor de gerenciamento. **Recommendations** Para as versões 4.8.0 até 4.21.x, atualize para a versão 4.22.0. Para as versões 4.14.x até 4.14.8, atualize para a versão 4.14.9 e configure `jwtIssuer`, `jwtAudience`, ou ambos. Para as versões 4.18.x até 4.18.3, atualize para a versão 4.18.4 e configure `jwtIssuer`, `jwtAudience`, ou ambos. Restrinja o keystore JWT ao menor conjunto de confiança possível, preferencialmente usando um assinador dedicado ao serviço. Garanta que qualquer gateway que valide o emissor e a audiência à frente do servidor não possa ser ignorado.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.x **Description** Um problema de travessia de caminho relativo (relative path traversal) existe no componente `camel-azure-storage-datalake` durante a operação `downloadToFile`. O componente grava arquivos em um diretório local especificado pela opção de endpoint `fileDir`, juntando-o ao nome do caminho remoto fornecido pelo SDK do Azure sem normalização lexical ou verificações de limite. Como a função `DataLakeConsumer.createBatchExchangesFromPath` cria trocas a partir do `PathItem.getName()` verbatim, um nome de arquivo remoto contendo segmentos de diretório pai pode resolver para um local fora do `fileDir` pretendido. Isso permite que um invasor que possa influenciar os nomes dos arquivos no sistema de arquivos Data Lake consumido crie ou sobrescreva arquivos no sistema de arquivos local com os privilégios do processo Camel, podendo levar à perda de integridade de arquivos ou escalada de privilégios. **Recommendations** Atualize para a versão 4.14.9 para aqueles na linha de lançamentos LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles na linha de lançamentos 4.18.x. Atualize para a versão 4.22.0 para todas as outras versões afetadas. Como mitigação temporária, use a opção de endpoint `regex` para garantir que apenas nomes simples de segmento único sejam aceitos, filtrando quaisquer nomes com separadores de caminho ou segmentos de diretório pai. Evite usar a operação `downloadToFile` em sistemas de arquivos não confiáveis e, em vez disso, use um nome de arquivo controlado pela rota. Trate os nomes de objetos em sistemas de arquivos Data Lake graváveis externamente como entradas não confiáveis e evite derivar caminhos de sistema de arquivos locais a partir deles.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.9 **Description** Uma validação de entrada inadequada no componente Atmosphere Websocket do Apache Camel permite a injeção de cabeçalhos. O produtor `camel-atmosphere-websocket` determina a entrega de mensagens para pares WebSocket usando cabeçalhos de troca específicos: `websocket.connectionKey`, `websocket.connectionKey.list`, `websocket.sendToAll`, `websocket.eventType` e `websocket.errorType`. Como esses cabeçalhos estão fora do namespace filtrado do Camel, eles são admitidos por consumidores da família HTTP. Em rotas que fazem a ponte entre um consumidor HTTP e um produtor atmosphere-websocket, um remetente externo pode fornecer esses cabeçalhos para manipular as decisões de despacho do produtor. Isso pode resultar na supressão de notificações ou na entrega a um cliente indesejado. Isso ocorre porque a função `WebsocketProducer.process()` prioriza o cabeçalho de lista em relação ao cabeçalho de chave única. **Recommendations** Atualize para a versão 4.14.9 para aqueles no fluxo de versões LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles no fluxo de versões 4.18.x. Atualize para a versão 4.22.0 para todas as outras versões afetadas. Como mitigação temporária, remova os cabeçalhos de despacho no limite de confiança antes do produtor, utilizando `removeHeaders(“websocket.*”)` entre o consumidor HTTP e o produtor atmosphere-websocket. Evite fazer a ponte de um consumidor HTTP não confiável diretamente para um produtor WebSocket cujo despacho seja orientado por cabeçalhos sem remover primeiro o namespace de despacho.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.9 **Description** Um problema de travessia de caminho relativo (relative path traversal) existe no componente `camel-azure-storage-blob`. A operação `downloadBlobToFile` na função `BlobOperations.downloadBlobToFile()` permite baixar blobs do Azure Storage para o sistema de arquivos local usando a opção de endpoint `fileDir`. Como o componente une o `fileDir` ao nome do blob remoto sem normalização lexical ou verificações de limite, um nome de blob contendo segmentos de diretório pai pode resolver para um local fora do diretório pretendido. Isso permite que um invasor que possa influenciar os nomes dos blobs em um contêiner consumido crie ou sobrescreva arquivos no sistema local com os privilégios do processo Camel. **Recommendations** Atualize para a versão 4.14.9 para aqueles na trilha LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles na trilha 4.18.x. Atualize para a versão 4.22.0. Como mitigação temporária, use a opção de endpoint `regex` para garantir que apenas nomes simples de segmento único sejam aceitos, filtrando separadores de caminho ou segmentos de diretório pai. Evite usar a operação `downloadBlobToFile` em contêineres não confiáveis e, em vez disso, use um nome de arquivo controlado pela rota. Trate os nomes de blobs em contêineres graváveis externamente como entrada não confiável e evite derivar caminhos de sistema de arquivos locais a partir deles.

Improper Input Validation, Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') vulnerability in Apache Camel Knative component The Knative consumer in camel-knative maps inbound CloudEvent attributes onto Camel message headers. In binary content mode the HTTP-header path filters Camel-internal headers through KnativeHttpHeaderFilterStrategy, but in structured content mode (Content-Type application/cloudevents+json) the CloudEvent extension fields are read directly from the JSON body and every extension key is copied into the Exchange headers without applying any HeaderFilterStrategy (CloudEventProcessors, spec versions 1.0, 1.0.1 and 1.0.2). As a result, an unauthenticated attacker can inject Camel-internal headers (e.g. CamelHttpUri, CamelHttpPath, CamelFileName) via a structured-mode CloudEvent request, matched case-insensitively against Camel's header map. When a route forwards messages from a Knative consumer to a header-driven component such as camel-http or camel-file, the injected headers override configured values, enabling server-side request forgery (SSRF), path traversal or message-dispatch redirection depending on the route. This is an incomplete fix of the inbound header filtering previously added for the binary content-mode path, and is the same pattern addressed in camel-cxf/camel-knative (CVE-2026-47323), camel-undertow (CVE-2025-30177), the broader incoming-header filter (CVE-2025-27636 and CVE-2025-29891), and the non-HTTP strategies (CVE-2026-40453). This issue affects Apache Camel: from 3.15.0 before 4.14.9, from 4.15.0 before 4.18.4, from 4.19.0 before 4.21.0. Users are recommended to upgrade to version 4.22.0, which fixes the issue. If users are on the 4.18.x LTS releases stream, then they are suggested to upgrade to 4.18.4. If users are on the 4.14.x LTS releases stream, then they are suggested to upgrade to 4.14.9. The non-LTS releases 4.15.0 through 4.17.0 and 4.19.0 through 4.21.0 are affected but do not receive a maintenance fix; users on those versions should upgrade to 4.18.4 or 4.22.0.

**Nome do Software Vulnerável e Versões Afetadas** Apache InLong versões 2.0.0 até 2.3.x **Description** Um problema de injeção de SQL existe devido à neutralização inadequada de elementos especiais usados em um comando SQL. Isso ocorre por meio da interpolação não validada do sinal $ do MyBatis dentro da função `AuditAlertRuleService`, permitindo que um invasor injete valores de string em instruções SQL. O problema é acessível via rede e não requer autenticação. **Recommendations** Atualize para a versão 2.4.0.

**Nome do Software Vulnerável e Versões Afetadas** Apache Ranger versões 0.6 through 2.8 **Description** O Apache Ranger contém uma falha de injeção de comando, que ocorre quando o software não neutraliza adequadamente elementos especiais usados em um comando, permitindo potencialmente que um invasor execute comandos arbitrários no sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Apache Polaris (versões afetadas não especificadas) **Descrição** Um principal autenticado com permissões para registrar tabelas ou views pode fazer com que o sistema utilize as credenciais de armazenamento do catálogo para ler um arquivo de metadados Iceberg selecionado antes de verificar se o arquivo está dentro dos locais de armazenamento permitidos. Isso ocorre quando o sistema falha em validar consistentemente os locais de armazenamento durante o registro. Se as credenciais subjacentes tiverem acesso a objetos fora do limite definido, informações limitadas desses objetos podem ser expostas. Além disso, o sistema pode aceitar metadados de registro dentro de um local permitido que referenciem locais de armazenamento fora do limite permitido, embora isso não desencadeie a leitura dos locais externos durante o registro. Este problema requer uma implantação usando S3 credential vending e um objeto fora dos locais permitidos que as credenciais do catálogo possam acessar. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Apache Zeppelin versões 0.6.0 through 0.12.0 **Description** Um problema de injeção LDAP existe onde o ActiveDirectoryGroupRealm constrói filtros de pesquisa LDAP sem escapar a entrada controlada pelo usuário. Isso permite que um invasor autenticado injete a sintaxe de filtro LDAP através do endpoint 'user-search' e do caminho de busca de função (role-lookup) após a autenticação LDAP bem-sucedida, potencialmente expondo informações do diretório. **Recommendations** Atualizar para a versão 0.12.1.

**Nome do Software Vulnerável e Versões Afetadas** Apache Gravitino versões 1.0.0 até 1.2.0 **Descrição** Ocorre a injeção de caminho de URL devido ao uso de identificadores fornecidos pelo usuário que não foram codificados. **Recomendações** Atualizar para a versão 1.2.1.

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.0.0 até 2.0.9 **Description** Uma limitação inadequada de um caminho a um diretório restrito, conhecida como Path Traversal, existe no Apache IoTDB. Isso permite que um invasor escreva arquivos arbitrários em qualquer local onde o processo IoTDB tenha permissões de escrita ao utilizar uma API insegura. **Recommendations** Atualizar para a versão 2.0.10.

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.0.0 até 2.0.9 **Descrição** O processador de pipe lê um nome de classe Java totalmente qualificado e o instancia usando a função `Class.forName().newInstance()` sem validação ou lista de permissões. Essa reflexão insegura permite que um invasor force a instanciação de classes arbitrárias no classpath via RPC sem autenticação. Se uma classe gadget adequada estiver presente, isso pode levar à execução remota de código e ao comprometimento total do processo. **Recomendações** Atualize para a versão 2.0.10.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.15.0 até 4.18.2 **Descrição** Um problema de injeção de argumentos existe no componente Docling do Apache Camel. O componente utiliza `java.lang.ProcessBuilder` para executar a ferramenta de linha de comando externa `docling`. Quando argumentos CLI personalizados são fornecidos através do cabeçalho de troca `CamelDoclingCustomArguments`, o sistema não os valida adequadamente, baseando-se em uma lista de negação (denylist) de flags proibidas e em uma verificação básica para sequências `../`. Isso permite que um invasor injete flags de CLI do `docling` não pretendidas ou utilize sequências de traversal de diretório para acessar arquivos fora do diretório pretendido. Embora o uso do `ProcessBuilder` baseado em lista impeça a injeção de comandos do SO via metacaracteres de shell, a validação fraca do cabeçalho `CamelDoclingCustomArguments` e de cabeçalhos de caminho permite a injeção de argumentos passados para a ferramenta externa. **Recomendações** Atualizar o Apache Camel versões 4.15.0 até 4.17.x para a versão 4.19.0 ou posterior. Atualizar o Apache Camel versão 4.18.x para a versão 4.18.3. Evitar o mapeamento de conteúdo de mensagens não confiáveis no cabeçalho `CamelDoclingCustomArguments` e em cabeçalhos de caminho. Remover cabeçalhos internos do Camel de mensagens provenientes de produtores não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9 **Descrição** A validação inadequada de entrada no componente Vertx Websocket permite que um invasor remoto não autenticado realize Server-Side Request Forgery (SSRF) e exponha informações sensíveis. O consumidor `camel-vertx-websocket` mapeia parâmetros de consulta e caminho do WebSocket de entrada no mapa de cabeçalho do Camel Exchange através da função `populateExchangeHeaders()` sem aplicar uma HeaderFilterStrategy. Isso permite que invasores definam cabeçalhos de controle internos do Camel, como `CamelHttpUri`, fornecendo-os como parâmetros de consulta. Se o consumidor alimentar um produtor HTTP downstream, o `CamelHttpUri` injetado redireciona a requisição do lado do servidor para um destino controlado pelo invasor. Além disso, o produtor HTTP resolve placeholders de propriedade do Camel na URI, podendo expor variáveis de ambiente, propriedades da aplicação ou segredos de vault para o invasor. **Recomendações** Atualizar para a versão 4.21.0. Atualizar para a versão 4.14.8 para aqueles na linha de lançamentos LTS 4.14.x. Atualizar para a versão 4.18.3 para aqueles na linha de lançamentos 4.18.x. Remover os cabeçalhos de controle do Camel das mensagens de entrada antes que alcancem produtores downstream, utilizando `removeHeaders('Camel*')` e `removeHeaders('camel*')` no início da rota. Exigir autenticação no endpoint WebSocket. Evitar a ponte direta de um consumidor não confiável para um produtor HTTP cuja URI de destino possa ser controlada por cabeçalhos de mensagem.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9 **Description** Existe uma validação incorreta de entrada no componente `camel-aws2-sns`. A `Sns2HeaderFilterStrategy` originalmente carecia de uma regra de filtro de entrada, configurando apenas um filtro de saída via `setOutFilterPattern` para bloquear os cabeçalhos `Camel*`, `breadcrumbId` e `org.apache.camel.*`. Embora uma lacuna semelhante no componente `camel-aws2-sqs` permitisse a injeção de cabeçalhos de controle do Camel através de `HeaderFilterStrategy.applyFilterToExternalHeaders`, isso não é explorável no `camel-aws2-sns` porque o `Sns2Endpoint` é apenas de produtor e não suporta consumidores, já que `createConsumer()` lança uma `UnsupportedOperationException`. Esta atualização é uma medida de reforço de defesa em profundidade para alinhar a configuração com outras estratégias, adicionando uma regra `setInFilterStartsWith` para o namespace Camel. **Recommendations** Atualizar Apache Camel versões 4.0.0 até 4.14.7 para a versão 4.14.8. Atualizar Apache Camel versões 4.15.0 até 4.18.2 para a versão 4.18.3. Atualizar Apache Camel versões 4.19.0 até 4.20.9 para a versão 4.21.0. Aplicar permissões IAM de privilégio mínimo em tópicos SNS como uma boa prática geral.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9 **Description** A validação inadequada de entrada no componente DNS do Apache Camel permite a ocorrência de Server-Side Request Forgery (SSRF). Os produtores `camel-dns` leem parâmetros de operação DNS de cabeçalhos de mensagem Exchange usando strings simples: `dns.server`, `dns.name`, `dns.domain`, `dns.type`, `dns.class` e `term`. Como esses nomes não começam com o prefixo Camel, a `HttpHeaderFilterStrategy` permite que eles passem de requisições HTTP recebidas diretamente para o Exchange. Em rotas que fazem a ponte entre um consumidor HTTP e um produtor `dns:`, um invasor não autenticado pode definir o cabeçalho `dns.server` para redirecionar consultas para um servidor DNS malicioso para observar nomes consultados ou retornar respostas falsificadas. Além disso, a manipulação de `dns.name` ou `dns.domain` permite o reconhecimento de rede interna ao resolver nomes de hosts internos arbitrários. **Recommendations** Atualizar para a versão 4.21.0. Atualizar para a versão 4.14.8 para aqueles no fluxo LTS 4.14.x. Atualizar para a versão 4.18.3 para aqueles no fluxo 4.18.x. Após a atualização, substitua o uso dos nomes de cabeçalho `dns.*` e `term` por `CamelDnsServer`, `CamelDnsName`, `CamelDnsDomain`, `CamelDnsType`, `CamelDnsClass` e `CamelDnsTerm` em rotas que executam operações DNS. Como mitigação temporária, remova os cabeçalhos `dns.*` e `term` de qualquer entrada não confiável antes que cheguem ao produtor `dns:` e defina os parâmetros de servidor DNS a partir de uma fonte confiável na rota.