CVE-2026-46726 — Injection d'en-tête dans camel-vertx-websocket (SSRF + divulgation de secrets)

Reproducteurs de preuve de concept exécutables pour la même vulnérabilité Apache Camel, un par runtime :

Les deux sont des versions affectées (corrigées en 4.14.8 / 4.18.3 / 4.21.0) et démontrent toutes deux le même défaut : VertxWebsocketConsumer#populateExchangeHeaders copie les paramètres de requête de la connexion WebSocket sur l'Exchange sans HeaderFilterStrategy. Un client fournit CamelHttpUri comme paramètre de requête et oriente le producteur camel-http en aval où bon lui semble (SSRF, CWE-918). Comme le producteur résout également les placeholders de propriétés Camel sur cet URI contrôlé par l'attaquant, un {{app.secret}} injecté est résolu en sa valeur réelle et envoyé au collecteur de l'attaquant (exposition d'informations, CWE-200).

Les deux variantes ne diffèrent que par l'endroit où le flux est servi : l'extension camel-quarkus-vertx-websocket lie toujours le consommateur au serveur HTTP Quarkus géré et rejette tout autre hôte/port, de sorte que la variante Quarkus sert /feed sur :8080 aux côtés de ses points de terminaison REST. Le défaut n'est pas affecté.

Chaque sous-répertoire est un projet autonome avec son propre Dockerfile, docker-compose.yml et README. En bref, pour l'un ou l'autre :

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Résumé de la vulnérabilité

Avis de sécurité : https://camel.apache.org/security/CVE-2026-46726.html

Avis de non-responsabilité

Ces reproducteurs sont fournis uniquement pour la recherche en sécurité et les tests autorisés, pour une vulnérabilité publiquement divulguée et corrigée. Ne les utilisez pas contre des systèmes sans autorisation explicite.