CVE-2026-84176

ملخص

ثغرة سياسة عبر النطاقات المتساهلة مع نطاقات غير موثوقة في مكوّن Apache Camel Platform HTTP Vertx. تؤثر هذه المشكلة في Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. تقوم الدالة createCorsHandler() بتعيين Access-Control-Allow-Credentials: true خارج فحص الأصل (origin)، لذا كان الترويسة يُرسل في كل استجابة لطلب يحمل ترويسة Origin، بما في ذلك الاستجابات لأصول قرر المعالج للتو عدم السماح بها. وعندما يكون camel.server.cors.origins غير معيّن، يعامل المعالج كل أصل على أنه مسموح به ويعيد صدى Origin الخاص بالمتصل نفسه كـ Access-Control-Allow-Origin. ويُنتج هذان الأمران معًا إعداد أي-أصل مع بيانات اعتماد، وهو الإعداد الذي ترفض مواصفة fetch التعبير عنه كحرف بدل حرفي، ولهذا السبب تحديدًا يُعدّ عكس الأصل هو الطريقة المعتادة للالتفاف حول تلك القاعدة. لذلك كان بإمكان صفحة على أي أصل إجراء طلبات عبر النطاقات مع بيانات اعتماد إلى نقطة نهاية Camel وقراءة الاستجابات. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. ويجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبحت Access-Control-Allow-Credentials تُرسل الآن فقط عندما يتطابق أصل الطلب مع أصل قام المشغّل بتكوينه فعليًا. وعند عدم وجود قائمة أصول، يظل الأصل يُعاد صداه كما كان من قبل، لكن لا تُمنح بيانات الاعتماد، وأصبحت Vary: Origin تُعيّن الآن كلما أُعيد صدى الأصل حتى لا يتمكن ذاكرة تخزين مؤقت مشتركة من تقديم استجابة أصل ما لأصل آخر. بالنسبة إلى عمليات النشر التي لا يمكنها الترقية فورًا، عيّن camel.server.cors.origins إلى القائمة الصريحة للأصول التي تحتاج إلى الوصول بدلًا من تركها غير معيّنة.

المصادر

• CVE-2026-84176PoC

  نموذج إثبات مفهوم قابل للتشغيل بـ Spring Boot يعيد إنتاج CVE-2026-84176، وهو ثغرة CORS تسمح ببيانات الاعتماد من أي أصل في Apache Camel camel-platform-http-vertx، مع خطوات التحقق.