CVE-2026-84176

Résumé

Vulnérabilité de politique inter-domaines permissive avec des domaines non fiables dans le composant Apache Camel Platform HTTP Vertx. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. createCorsHandler() définissait Access-Control-Allow-Credentials: true en dehors de la vérification de l'origine, de sorte que l'en-tête était émis sur chaque réponse à une requête portant un en-tête Origin, y compris les réponses vers des origines que le gestionnaire venait de décider de ne pas autoriser. Lorsque camel.server.cors.origins n'est pas défini, le gestionnaire considère toutes les origines comme autorisées et renvoie l'Origin de l'appelant lui-même comme Access-Control-Allow-Origin. Ensemble, ces comportements produisent la configuration avec credentials et n'importe quelle origine que la spécification fetch refuse d'exprimer comme un joker littéral, ce qui est précisément la raison pour laquelle refléter l'origine est le moyen habituel de contourner cette règle. Une page sur n'importe quelle origine pouvait donc effectuer des requêtes cross-origin avec credentials vers le point de terminaison Camel et lire les réponses. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Access-Control-Allow-Credentials n'est désormais envoyé que lorsque l'origine de la requête correspond à une origine réellement configurée par l'opérateur. Sans liste d'origines, l'origine est toujours reflétée, comme auparavant, mais les credentials ne sont pas accordés, et Vary: Origin est désormais défini chaque fois que l'origine est reflétée afin qu'un cache partagé ne puisse pas servir la réponse d'une origine à une autre. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, définissez camel.server.cors.origins avec la liste explicite des origines nécessitant un accès plutôt que de le laisser non défini.

Sources

• CVE-2026-84176PoC