CVE-2026-46726 — Inyección de Cabeceras en camel-vertx-websocket (SSRF + Divulgación de Secretos)

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por runtime:

Ambas son versiones afectadas (corregidas en 4.14.8 / 4.18.3 / 4.21.0) y demuestran el mismo defecto: VertxWebsocketConsumer#populateExchangeHeaders copia los parámetros de consulta de la conexión WebSocket al Exchange sin HeaderFilterStrategy. Un cliente proporciona CamelHttpUri como parámetro de consulta y dirige el productor camel-http posterior adonde quiera (SSRF, CWE-918). Debido a que el productor también resuelve los placeholders de propiedades de Camel en esa URI controlada por el atacante, un {{app.secret}} inyectado se expande a su valor real y se envía al recolector del atacante (exposición de información, CWE-200).

Las dos variantes difieren solo en dónde se sirve el feed: la extensión camel-quarkus-vertx-websocket siempre vincula el consumidor al servidor HTTP de Quarkus gestionado y rechaza cualquier otro host/puerto, por lo que la variante Quarkus sirve /feed en :8080 junto a sus endpoints REST. El defecto no se ve afectado.

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la Vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-46726.html

Descargo de Responsabilidad

Estos reproductores se proporcionan solo para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilices contra sistemas sin permiso explícito.