CVE-2026-49099 — Inyección de cabecera sObjectQuery en camel-salesforce

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por runtime:

Ambas son versiones afectadas (corregidas en 4.14.8 / 4.18.3 / 4.21.0), y ambas demuestran el mismo defecto: AbstractSalesforceProcessor.getParameter() resuelve la cabecera sObjectQuery (y sus hermanas apexUrl, sObjectName, …) antes que el valor configurado del endpoint. Esos nombres de cabecera son cadenas simples, sin prefijo Camel, y camel-salesforce no incluye ninguna HeaderFilterStrategy, por lo que el filtro del límite HTTP (HttpHeaderFilterStrategy, que elimina solo Camel*) permite que una cabecera HTTP entrante pase directamente y reemplace el SOQL acotado de la ruta — una sobrescritura de consulta SOQL / control de acceso roto (CWE-74 + CWE-639).

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README, con un componente salesforce simulado mediante grabación, por lo que no se requiere una organización de Salesforce, OAuth ni red. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

La corrección renombra las constantes de cabecera a la convención CamelSalesforce* (p. ej. CamelSalesforceSObjectQuery), de modo que se eliminan en el límite HTTP como cualquier otra cabecera Camel*.

Aviso: https://camel.apache.org/security/CVE-2026-49099.html

Descargo de responsabilidad

Estos reproductores se proporcionan solo para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilices contra sistemas sin permiso explícito.