CVE-2026-40047

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.15.0 até 4.18.2

Descrição Um problema de injeção de argumentos existe no componente Docling do Apache Camel. O componente utiliza java.lang.ProcessBuilder para executar a ferramenta de linha de comando externa docling. Quando argumentos CLI personalizados são fornecidos através do cabeçalho de troca CamelDoclingCustomArguments, o sistema não os valida adequadamente, baseando-se em uma lista de negação (denylist) de flags proibidas e em uma verificação básica para sequências ../. Isso permite que um invasor injete flags de CLI do docling não pretendidas ou utilize sequências de traversal de diretório para acessar arquivos fora do diretório pretendido. Embora o uso do ProcessBuilder baseado em lista impeça a injeção de comandos do SO via metacaracteres de shell, a validação fraca do cabeçalho CamelDoclingCustomArguments e de cabeçalhos de caminho permite a injeção de argumentos passados para a ferramenta externa.

Recomendações Atualizar o Apache Camel versões 4.15.0 até 4.17.x para a versão 4.19.0 ou posterior. Atualizar o Apache Camel versão 4.18.x para a versão 4.18.3. Evitar o mapeamento de conteúdo de mensagens não confiáveis no cabeçalho CamelDoclingCustomArguments e em cabeçalhos de caminho. Remover cabeçalhos internos do Camel de mensagens provenientes de produtores não confiáveis.