CVE-2026-46457

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9

Description Uma validação de entrada inadequada no componente camel-nats permite que um cliente injete cabeçalhos de controle do Camel arbitrários no Camel Exchange. Isso ocorre porque o NatsConsumer utiliza um DefaultHeaderFilterStrategy sem regras de entrada configuradas, fazendo com que todos os cabeçalhos de mensagens NATS sejam copiados sem modificações. Um invasor que publique em um tópico NATS consumido pode injetar cabeçalhos como CamelHttpUri, CamelFileName ou CamelSqlQuery para influenciar produtores downstream, potencialmente redirecionando requisições HTTP, alterando nomes de arquivos ou sobrescrevendo consultas. Esses cabeçalhos injetados persistem através de saltos internos direct, seda e vm. O problema é acessível sem credenciais se o servidor NATS estiver configurado sem autenticação.

Recommendations Atualizar para a versão 4.21.0. Atualizar para a versão 4.14.8 para aqueles na linha de lançamento 4.14.x LTS. Atualizar para a versão 4.18.3 para aqueles na linha de lançamento 4.18.x. Como mitigação temporária, remova os cabeçalhos de controle do Camel das mensagens NATS recebidas no início da rota usando removeHeaders('Camel*') e removeHeaders('camel*'). Habilite a autenticação no servidor NATS para garantir que apenas clientes confiáveis possam publicar no tópico consumido.