CVE-2026-84178

ملخص

ثغرة تزوير الطلبات عبر المواقع (CSRF) في مكوّن OAuth الخاص بـ Apache Camel. تؤثر هذه المشكلة على Apache Camel: من 4.11.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. لم يكن رد نداء رمز التفويض (authorization code callback) يحمل معامل state يربطه بطلب التفويض الذي بدأ التدفق، ولم يكن رد النداء يتحقق من وجوده. لذلك كان يمكن استبدال رمز تفويض تم الحصول عليه في أي متصفح عند رد النداء وربطه بأي جلسة قدّمته، وهذا هو تزوير طلبات تسجيل الدخول عبر المواقع: يمكن تسجيل دخول الضحية بصمت بهوية يتحكم بها المهاجم، بحيث تصل الإجراءات التي ينفذها الضحية بعد ذلك، والبيانات التي يرسلها، إلى حساب المهاجم. كما سمحت نفس المعالجة غير المُتحقَّق منها لرد النداء بالتأثير على هدف إعادة التوجيه بعد المصادقة، مما أتاح إعادة توجيه مفتوحة من أصل موثوق. يُنفَّذ فحص state قبل استبدال رمز التفويض، لذا يمكن الوصول إلى هذه المسارات دون أي تفاعل مع مزوّد الهوية. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. أصبح طلب التفويض الآن يصدر قيمة state مرتبطة بالجلسة، ويرفض رد النداء أي طلب تكون فيه قيمة state غائبة أو غير مطابقة، فيوقف المسار باستجابة 400. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، أنهِ تدفق رمز التفويض في مكوّن ينفذ ربط state خاصًا به بدلًا من الاعتماد على رد نداء Camel. لاحظ أنه بعد الترقية، ستبدأ النشرة الواقعة خلف وكيل (proxy) يُسقط سلسلة استعلام رد النداء أو يعيد كتابتها في رؤية استجابات 400، لأن معامل state يجب أن ينجو من رحلة الذهاب والإياب.

المصادر

• CVE-2026-84178PoC

  أداة إثبات مفهوم قابلة للتشغيل لإعادة إنتاج CVE-2026-84178، وهو هجوم CSRF على تسجيل الدخول في رد نداء رمز التفويض الخاص بـ camel-oauth في Apache Camel، والذي يستبدل الرموز دون التحقق من الحالة.