CVE-2026-85245

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Description O componente Thrift realizava o unmarshalling de dados recebidos em um defaultInstance compartilhado do tipo de destino em vez de uma cópia nova, retornando esse objeto compartilhado como o corpo da troca. Como a instância é compartilhada em todo o processo, o estado gravado durante o unmarshalling de uma mensagem permanecia no objeto e ficava visível para todas as mensagens posteriores que utilizassem o mesmo tipo. Isso permite que o conteúdo de um remetente seja lido durante o processamento da mensagem de outro remetente, ou que trocas simultâneas observem estados parcialmente gravados, resultando na divulgação de dados em implantações que atendem a mais de um locatário ou usuário.

Recommendations Atualize para a versão 4.18.5 para usuários no fluxo LTS 4.18.x. Atualize para a versão 4.22.1 para usuários no fluxo LTS 4.22.x. Atualize para a versão 4.23.0. Como medida paliativa temporária, copie o corpo descompactado para uma nova instância imediatamente após a execução do formato de dados e não mantenha referências ao objeto retornado.