CVE-2026-46591

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.10.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.x

Description Existe um problema no componente Neo4J do Apache Camel onde o produtor constrói a cláusula WHERE do Cypher para operações de correspondência, recuperação e exclusão usando o mapa CamelNeo4jMatchProperties. Embora os valores das propriedades sejam vinculados como parâmetros, os nomes das propriedades (chaves JSON do mapa) são concatenados diretamente na string de consulta dentro das funções retrieveNodes() e deleteNode(). Isso permite que um invasor que controle os nomes das chaves JSON injete sintaxe Cypher arbitrária, podendo ler, modificar ou excluir qualquer nó ou relacionamento no banco de dados Neo4J. Isso é possível em rotas que mapeiam entradas não confiáveis no mapa CamelNeo4jMatchProperties ou utilizam consumidores que não filtram cabeçalhos Camel de entrada.

Recommendations Atualize para a versão 4.14.8 para aqueles no fluxo de versões LTS 4.14.x. Atualize para a versão 4.18.3 para aqueles no fluxo de versões 4.18.x. Atualize para a versão 4.21.0. Como mitigação temporária, não popule o mapa CamelNeo4jMatchProperties a partir de entradas não confiáveis, validando ou utilizando uma lista de permissões para os nomes das propriedades contra a regex ^[A-Za-z ][A-Za-z0-9 ]*$ antes do produtor Neo4J. Garanta que qualquer consumidor que alimente a rota filtre os cabeçalhos Camel* e camel* de entrada para evitar que remetentes externos forneçam o cabeçalho de correspondência.