CVE-2026-46591

Resumen

Vulnerabilidad de neutralización inadecuada de elementos especiales en la lógica de consulta de datos en el componente Neo4J de Apache Camel. El productor camel-neo4j construye la cláusula WHERE de Cypher para sus operaciones de coincidencia/recuperación y eliminación a partir del mapa CamelNeo4jMatchProperties. CVE-2025-66169 abordó la inyección de Cypher a través de los valores de las propiedades vinculándolos como parámetros de consulta ($paramN), pero los nombres de las propiedades (las claves JSON de ese mapa) todavía se concatenaban literalmente en la cadena de consulta en Neo4jProducer.retrieveNodes() y deleteNode(). Un nombre de propiedad que contenga sintaxis de Cypher altera por tanto la estructura de la consulta ejecutada. Cuando una ruta asigna entrada no confiable al mapa CamelNeo4jMatchProperties — por ejemplo, pasando un cuerpo de solicitud como mapa de coincidencia, o desde un consumidor que no filtra los encabezados Camel* entrantes — un atacante que controle los nombres de las claves JSON puede inyectar Cypher arbitrario y leer, modificar o eliminar cualquier nodo o relación en la base de datos Neo4j. El encabezado CamelNeo4jMatchProperties tiene en sí mismo el prefijo Camel y es filtrado por la estrategia de filtrado de encabezados HTTP, por lo que un cliente HTTP común no puede establecerlo directamente; el problema es alcanzable a través de rutas que transportan deliberada o inadvertidamente datos no confiables hacia ese encabezado. Este problema afecta a Apache Camel: desde 4.10.0 antes de 4.14.8, desde 4.15.0 antes de 4.18.3, desde 4.19.0 antes de 4.21.0. Se recomienda a los usuarios actualizar a la versión 4.21.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.14.x, se les sugiere actualizar a 4.14.8. Si los usuarios están en la rama de versiones 4.18.x, se les sugiere actualizar a 4.18.3. Para implementaciones que no pueden actualizar de inmediato, no poblar el mapa CamelNeo4jMatchProperties desde entrada no confiable: validar o permitir solo los nombres de las propiedades (por ejemplo, contra ^[A-Za-z_][A-Za-z0-9_]*$) antes del productor Neo4j, y asegurarse de que cualquier consumidor que alimente dicha ruta filtre los encabezados Camel* / camel* entrantes para que el encabezado de coincidencia no pueda ser suministrado por un remitente externo.

Fuentes