CVE-2026-85316

ملخص

ثغرة عدم كفاية دقة التحكم في الوصول في مكوّن Apache Camel Platform HTTP. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان المكوّن يقرر ما إذا كانت نقطة النهاية تعمل في وضع الوكيل (proxy) عبر اختبار ما إذا كان المسار المُهيّأ يبدأ بالسلسلة proxy، بدلاً من مطابقة المسار بشكل دقيق. لذلك أصبحت أي نقطة نهاية يبدأ مسارها merely بتلك الأحرف - مثل proxyStatus وproxy-config وproxying وما إلى ذلك - نقطة نهاية وكيل دون أن يطلب مؤلف المسار ذلك. نقطة نهاية الوكيل تعيد توجيه الطلبات إلى جهة أخرى، لذا فإن نقطة النهاية التي كان المقصود منها تقديم محتواها الخاص تقوم بدلاً من ذلك بتمرير حركة المرور نيابةً عن أي جهة تستدعيها، وهو ما يُعدّ في آنٍ واحد أداةً أساسية لتزوير الطلبات (request forgery) وكشفًا لكل ما يمكن لمسار إعادة التوجيه الوصول إليه. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبح وضع الوكيل الآن يُختار عبر مطابقة دقيقة للمسار بدلاً من البادئة. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، أعد تسمية أي مسار نقطة نهاية يبدأ بـ proxy ولكن ليس المقصود منه أن يكون وكيلاً.

المصادر

• CVE-2026-85316PoC

  أداة إثبات مفهوم قابلة للتشغيل لإعادة إنتاج CVE-2026-85316، تُظهر وضع الوكيل غير المقصود في مطابقة بادئة المسار في Apache Camel camel-platform-http، مع عناصر تحكم بالإصدارات المُصلحة.