CVE-2026-85313

Résumé

Vulnérabilité de politique inter-domaines permissive avec des domaines non fiables dans le composant Apache Camel Jetty. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. L'activation de enableCORS sur un endpoint Jetty installait le CrossOriginFilter de Jetty avec ses valeurs par défaut d'origine, qui acceptent toutes les origines et autorisent les identifiants. Un opérateur demandant CORS obtenait donc une politique permettant à une page de n'importe quelle origine d'effectuer des requêtes cross-origin avec identifiants vers l'endpoint et de lire les réponses, sans aucune indication que l'activation de l'option avait choisi une politique tout-autorisé plutôt qu'une politique vide à compléter. Il s'agit de la même classe de défaut que l'avis platform-http-vertx publié en parallèle, dans un composant différent. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. enableCORS n'accorde plus d'identifiants à une origine que l'opérateur n'a pas nommée. Un déploiement qui reposait sur l'acceptation de n'importe quelle origine doit désormais lister explicitement ses origines. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, configurez explicitement les paramètres du CrossOriginFilter plutôt que de vous fier à ce qu'installe enableCORS, en nommant les origines autorisées.

Sources

• CVE-2026-85313PoC

  Preuve de concept Spring Boot exécutable reproduisant CVE-2026-85313, où Apache Camel camel-jetty enableCORS reflète n'importe quelle origine avec les identifiants, ainsi qu'un contrôle avec la version corrigée.