CVE-2026-46585

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9

Description A validação inadequada de entrada no Componente Lucene do Apache Camel permite a ignoração de autorização por meio de chaves controladas pelo usuário. O produtor camel-lucene lê frases de pesquisa de um cabeçalho de Exchange LuceneConstants.HEADER QUERY (com o valor QUERY) e HEADER RETURN LUCENE DOCS (com o valor RETURN LUCENE DOCS). Como esses nomes não possuem o prefixo Camel ou camel, a HttpHeaderFilterStrategy permite que eles passem de requisições HTTP recebidas diretamente para o Exchange. Em rotas que expõem operações de consulta Lucene via um consumidor HTTP, um invasor pode definir o cabeçalho QUERY para executar consultas arbitrárias no índice de texto completo, substituindo os filtros pretendidos. Isso pode resultar no acesso não autorizado a documentos ou alto consumo de CPU através de consultas de expressões regulares complexas. Nenhuma credencial é necessária se o consumidor HTTP não for autenticado.

Recommendations Atualizar para a versão 4.21.0. Atualizar para a versão 4.14.8 para aqueles na linha LTS 4.14.x. Atualizar para a versão 4.18.3 para aqueles na linha 4.18.x. Após a atualização, as rotas que definem a consulta via nomes de cabeçalho brutos devem usar CamelLuceneQuery e CamelLuceneReturnLuceneDocs em vez de QUERY e RETURN LUCENE DOCS. Como mitigação temporária, remova os cabeçalhos QUERY e RETURN LUCENE DOCS antes do produtor Lucene e defina a consulta a partir de uma fonte confiável.