CVE-2026-49086

ملخص

تحقق غير صحيح من المدخلات، ثغرة وكيل أو وسيط غير مقصود ('النائب المشوش') في مكوّن Apache Camel DAPR. ينسخ مستهلك Dapr Pub/Sub في camel-dapr (DaprPubSubConsumer) حقلين من كل CloudEvent وارد - اسم مكوّن Pub/Sub الخاص به وموضوعه - إلى ترويسات CamelDaprPubSubName وCamelDaprTopic في Exchange. هاتان الترويستان هما ترويسات توجيه باتجاه المنتج: عندما يعيد المسار النشر عبر منتج Dapr، يقرؤهما DaprConfigurationOptionsProxy ويفضّلهما على الوجهة المكوّنة على نقطة النهاية. نتيجة لذلك، في مسار يستهلك من موضوع Dapr Pub/Sub واحد ويعيد النشر إلى موضوع آخر (على سبيل المثال from('dapr-pubsub:p:t').to('dapr-pubsub:p:other'))، يمكن لأي جهة فاعلة قادرة على نشر رسالة إلى الموضوع المشترك أن تضبط اسم pub/sub وtopic الخاصين بـ CloudEvent على قيم من اختيارها وتتسبب في تسليم الرسالة المعاد نشرها إلى مكوّن وموضوع Dapr Pub/Sub عشوائيين بدلاً من الوجهة المكوّنة - مما يعيد توجيه الرسالة أو يسرّبها ويتجاوز التوجيه المقصود للمسار وأي ضوابط وصول على مستوى الموضوع في الوسيط الأساسي. يتطلب الاستغلال القدرة على النشر إلى الموضوع الذي يشترك فيه المسار؛ ولا حاجة إلى أي مصادقة أخرى أو تفاعل من المستخدم. تؤثر هذه الثغرة على Apache Camel: من 4.12.0 قبل 4.14.8، ومن 4.15.0 قبل 4.18.3، ومن 4.19.0 قبل 4.21.0. يُنصح المستخدمون بالترقية إلى الإصدار 4.21.0، الذي يصلح الثغرة. إذا كان المستخدمون على سلسلة إصدارات LTS 4.14.x، فمن المقترح الترقية إلى 4.14.8. إذا كان المستخدمون على سلسلة إصدارات 4.18.x، فمن المقترح الترقية إلى 4.18.3. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، قم بإزالة ترويسات CamelDaprPubSubName وCamelDaprTopic من Exchange بين مستهلك Dapr وأي منتج Dapr في المسار (على سبيل المثال removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic'))، وقيّد من يمكنه النشر إلى موضوع Dapr Pub/Sub المشترك بحيث لا يمكن إلا للمنتجين الموثوقين الإرسال إليه.

• CVE-2026-49086PoC

  مُعيد إنتاج لإثبات المفهوم (PoC) لـ CVE-2026-49086 يوضح تجاوز رأس التوجيه لنائب مخدوع في Apache Camel camel-dapr، مما يتيح إعادة توجيه الرسائل واستخراج البيانات عبر حقول CloudEvent غير موثوقة.