CVE-2026-46592 — Inyección en el encabezado operationName de camel-cxf (Redirección de operación SOAP)

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por tiempo de ejecución:

Ambas son versiones afectadas (corregidas en 4.14.8 / 4.18.3 / 4.21.0), y ambas demuestran el mismo defecto: CxfProducer#getBindingOperationInfo primero busca un encabezado de mensaje operationName y solo recurre al defaultOperationName del endpoint cuando está ausente. El valor constante de ese encabezado es la cadena simple operationName — no CamelCxfOperationName — por lo que el filtro de límite HTTP (que elimina solo Camel*) deja pasar directamente un encabezado HTTP entrante con ese nombre. Un cliente no confiable agrega operationName: deleteAccount y el getBalance fijo y de solo lectura de la ruta se convierte en una llamada destructiva (CWE-441, deputy confundido).

Las dos variantes difieren solo en cómo se despliega el servicio SOAP de backend: la variante Quarkus lo publica con quarkus-cxf en el servidor HTTP administrado de Quarkus (por lo que el contrato lleva anotaciones JAX-WS @WebService), mientras que la variante Spring Boot lo crea programáticamente con un CXF ServerFactoryBean en un puerto separado. El defecto no se ve afectado.

Cada subdirectorio es un proyecto autónomo con su propio Dockerfile, docker-compose.yml y README. En resumen, para cualquiera de ellos:

cd camel-spring-boot   # o: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-46592.html

Descargo de responsabilidad

Estos reproductores se proporcionan solo para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilice contra sistemas sin permiso explícito.