CVE-2026-49098 — Inyección de cabecera kafka.OVERRIDE_TOPIC de camel-kafka

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por runtime:

Ambas son versiones afectadas (el problema se corrige en 4.14.8 / 4.18.3 / 4.21.0), y ambas demuestran el mismo defecto: KafkaProducer.evaluateTopic() lee la cabecera kafka.OVERRIDE_TOPIC sin el prefijo Camel y la prioriza sobre el topic configurado del endpoint. Dicha cabecera escapa al filtro de cabeceras HTTP (tanto al platform-http de servlet de Spring Boot como al platform-http de Vert.x de Quarkus) y mueve un registro producido a un topic elegido por el atacante: inyección entre topics (CWE-20 → CWE-74).

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README con todos los detalles y pasos de reproducción. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-49098.html

Descargo de responsabilidad

Estos reproductores se proporcionan únicamente para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilice contra sistemas sin permiso explícito.