CVE-2026-48204

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9

Description Validação de entrada inadequada e controle de acesso impróprio no componente Camel Mongodb Gridfs permitem que clientes HTTP não autenticados sequestrem operações do GridFS. O produtor camel-mongodb-gridfs utiliza o cabeçalho de Exchange gridfs.operation para determinar a operação quando nenhum parâmetro de operação explícito é definido. Como os cabeçalhos de controle gridfs.operation, gridfs.objectid, gridfs.metadata, gridfs.chunksize e gridfs.fileid não utilizam o prefixo Camel, eles ignoram o HttpHeaderFilterStrategy e são passados diretamente de requisições HTTP recebidas para o Exchange. Um invasor pode usar isso para substituir as operações pretendidas — como alterar um upload de arquivo para as operações remove, listAll ou findOne — e fornecer um valor gridfs.metadata para realizar a injeção de operador NoSQL, que é uma técnica usada para manipular consultas de banco de dados injetando sintaxe NoSQL. Isso pode levar à exclusão ou leitura arbitrária de arquivos.

Recommendations Atualizar para a versão 4.21.0. Atualizar para a versão 4.14.8 para aqueles na linha de lançamento LTS 4.14.x. Atualizar para a versão 4.18.3 para aqueles na linha de lançamento 4.18.x. Após a atualização, substitua o uso dos nomes de cabeçalho gridfs.* por CamelGridFsOperation, CamelGridFsObjectId, CamelGridFsMetadata, CamelGridFsChunkSize ou CamelGridFsFileId em rotas que conduzem operações GridFS. Como mitigação temporária, defina uma operação explícita no endpoint mongodb-gridfs: e remova todos os cabeçalhos gridfs.* de qualquer entrada não confiável antes que cheguem ao produtor.