CVE-2026-46454

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9

Descrição Uma validação de entrada inadequada no componente Apache Camel Cometd permite que usuários não autenticados injetem cabeçalhos de controle do Camel arbitrários. A função CometdBinding.populateExchangeFromMessage() copia o mapa ext.CamelHeaders do cliente CometD diretamente para a mensagem Camel sem aplicar uma HeaderFilterStrategy. Como nenhuma Bayeux SecurityPolicy é instalada por padrão, qualquer cliente que complete o handshake Bayeux pode publicar mensagens que modifiquem cabeçalhos de controle internos, como CamelHttpUri, CamelFileName ou CamelJmsDestinationName. Isso pode resultar no redirecionamento de produtores HTTP, alteração de nomes de arquivos ou substituição de destinos JMS, sendo que os cabeçalhos injetados persistem através de saltos internos direct, seda e vm.

Recomendações Atualize para a versão 4.21.0. Atualize para a versão 4.14.8 para aqueles na linha de lançamentos LTS 4.14.x. Atualize para a versão 4.18.3 para aqueles na linha de lançamentos 4.18.x. Remova os cabeçalhos de controle do Camel das mensagens CometD recebidas utilizando removeHeaders('Camel*') e removeHeaders('camel*') no início da rota. Instale uma Bayeux SecurityPolicy explícita no CometdComponent para garantir que apenas clientes autenticados possam publicar mensagens.