CVE-2026-84178

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.11.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Description Um problema de Cross-Site Request Forgery (CSRF) existe no componente OAuth. O callback do código de autorização não possui um parâmetro de estado para vinculá-lo à solicitação de autorização inicial e não verifica um. Isso permite que um invasor associe um código de autorização à sessão de uma vítima, resultando em um CSRF de login, onde a vítima é conectada a uma conta controlada pelo invasor. Além disso, o tratamento de callback não validado permite um redirecionamento aberto a partir de uma origem confiável, permitindo que o destino do redirecionamento pós-autenticação seja influenciado. Esses caminhos são acessíveis sem interação com o provedor de identidade, pois a verificação de estado ocorre antes do resgate do código de autorização.

Recommendations Atualize o Apache Camel versões 4.11.0 até 4.18.4 para 4.18.5. Atualize o Apache Camel versões 4.19.0 até 4.22.0 para 4.22.1. Atualize todas as outras versões afetadas para 4.23.0. Como solução temporária, encerre o fluxo de código de autorização em um componente que realize sua própria vinculação de estado em vez de usar o callback do Camel.