CVE-2026-84178

Resumen

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el componente OAuth de Apache Camel. Este problema afecta a Apache Camel: desde 4.11.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. La callback del código de autorización no llevaba un parámetro state que la vinculara a la solicitud de autorización que inició el flujo, y la callback no verificaba ninguno. Por lo tanto, un código de autorización obtenido en cualquier navegador podía canjearse en la callback y asociarse con la sesión que lo presentara, lo que constituye un cross-site request forgery de inicio de sesión: una víctima puede ser autenticada silenciosamente como una identidad controlada por el atacante, de modo que las acciones que la víctima realice a continuación, y los datos que envíe después, acaban en la cuenta del atacante. El mismo manejo no validado de la callback también permitía influir en el destino de redirección posterior a la autenticación, lo que daba lugar a una redirección abierta desde un origen de confianza. La comprobación de state se ejecuta antes de canjear el código de autorización, por lo que estas rutas son alcanzables sin ninguna interacción con el proveedor de identidad. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. La solicitud de autorización ahora emite un valor de state vinculado a la sesión, y la callback rechaza una solicitud cuyo state esté ausente o no coincida, deteniendo la ruta con una respuesta 400. Para las implementaciones que no puedan actualizar de inmediato, finalice el flujo del código de autorización en un componente que realice su propia vinculación de state en lugar de depender de la callback de Camel. Tenga en cuenta que, tras la actualización, una implementación detrás de un proxy que elimine o reescriba la cadena de consulta de la callback comenzará a recibir respuestas 400, porque el parámetro state debe sobrevivir al trayecto de ida y vuelta.

Fuentes

• CVE-2026-84178PoC