CVE-2026-25747

Resumen

Vulnerabilidad de deserialización de datos no confiables en el componente Apache Camel LevelDB. La clase Camel-LevelDB DefaultLevelDBSerializer deserializa datos leídos del repositorio de agregación LevelDB usando java.io.ObjectInputStream sin aplicar ningún ObjectInputFilter o restricciones de carga de clases. Un atacante que puede escribir en los archivos de la base de datos LevelDB utilizados por una aplicación Camel puede inyectar un objeto Java serializado manipulado que, cuando es deserializado durante las operaciones normales del repositorio de agregación, resulta en ejecución de código arbitrario en el contexto de la aplicación. Este problema afecta a Apache Camel: desde 4.10.0 antes de 4.10.8, desde 4.14.0 antes de 4.14.5, desde 4.15.0 antes de 4.18.0. Se recomienda a los usuarios actualizar a la versión 4.18.0, que corrige el problema. Para las versiones LTS 4.10.x, se recomienda a los usuarios actualizar a 4.10.9, mientras que para las versiones LTS 4.14.x, se recomienda a los usuarios actualizar a 4.14.5.

• CVE-2026-25747PoC

  CVE-2026-25747 - Vulnerabilidad de deserialización en Camel LevelDB

• CVE-2026-33453Exploit

  Proporciona exploits de prueba de concepto funcionales y análisis detallado para tres vulnerabilidades críticas de Apache Camel, incluyendo inyección de cabeceras CoAP y deserialización insegura que conduce a ejecución remota de código.