CVE-2026-84176

Resumen

Vulnerabilidad de política entre dominios permisiva con dominios no confiables en el componente Apache Camel Platform HTTP Vertx. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. createCorsHandler() establecía Access-Control-Allow-Credentials: true fuera de la comprobación de origen, por lo que la cabecera se enviaba en cada respuesta a una solicitud que llevara una cabecera Origin, incluidas las respuestas a orígenes que el handler acababa de decidir no permitir. Cuando camel.server.cors.origins no está establecido, el handler trata todos los orígenes como permitidos y devuelve el propio Origin del llamador como Access-Control-Allow-Origin. En conjunto, esto produce la configuración de cualquier origen con credenciales que la especificación fetch se niega a expresar como un comodín literal, que es precisamente la razón por la que reflejar el origen es la forma habitual de eludir esa regla. Por lo tanto, una página en cualquier origen podía realizar solicitudes entre orígenes con credenciales al endpoint de Camel y leer las respuestas. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Ahora Access-Control-Allow-Credentials solo se envía cuando el origen de la solicitud coincidía con un origen que el operador configuró realmente. Sin una lista de orígenes, el origen sigue reflejándose, como antes, pero no se conceden credenciales, y ahora se establece Vary: Origin siempre que se refleja el origen, de modo que una caché compartida no pueda servir la respuesta de un origen a otro. Para las implementaciones que no puedan actualizar de inmediato, establezca camel.server.cors.origins con la lista explícita de orígenes que necesitan acceso en lugar de dejarlo sin establecer.

Fuentes

• CVE-2026-84176PoC

  Prueba de concepto ejecutable en Spring Boot que reproduce CVE-2026-84176, una vulnerabilidad CORS de credenciales con cualquier origen en Apache Camel camel-platform-http-vertx, con pasos de verificación.