CVE-2026-85313

Resumen

Vulnerabilidad de política entre dominios permisiva con dominios no confiables en el componente Apache Camel Jetty. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Establecer enableCORS en un endpoint Jetty instalaba el CrossOriginFilter de Jetty con sus valores predeterminados de fábrica, que aceptan todos los orígenes y permiten credenciales. Por lo tanto, un operador que solicitaba CORS obtenía una política que permitía a una página de cualquier origen realizar solicitudes entre orígenes con credenciales al endpoint y leer las respuestas, sin ninguna indicación de que activar la opción había elegido una política de permitir todo en lugar de una vacía que debía rellenarse. Esta es la misma clase de defecto que el aviso de platform-http-vertx publicado junto a este, en un componente diferente. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. enableCORS ya no concede credenciales a un origen que el operador no haya nombrado. Una implementación que dependía de que se aceptara cualquier origen ahora debe enumerar sus orígenes explícitamente. Para las implementaciones que no puedan actualizar de inmediato, configure los parámetros de CrossOriginFilter explícitamente en lugar de depender de lo que instala enableCORS, nombrando los orígenes permitidos.

Fuentes

• CVE-2026-85313PoC

  Prueba de concepto ejecutable de Spring Boot que reproduce CVE-2026-85313, donde Apache Camel camel-jetty enableCORS refleja cualquier origen con credenciales, además de un control con la versión corregida.