CVE-2026-49098 — Injection d'en-tête kafka.OVERRIDE_TOPIC dans camel-kafka

Reproducteurs de preuve de concept exécutables pour la même vulnérabilité Apache Camel, un par environnement d'exécution :

Les deux sont des versions affectées (le problème est corrigé dans les versions 4.14.8 / 4.18.3 / 4.21.0), et les deux démontrent le même défaut : KafkaProducer.evaluateTopic() lit l'en-tête kafka.OVERRIDE_TOPIC sans préfixe Camel et le préfère au sujet configuré du point de terminaison. Il contourne le filtre d'en-têtes HTTP (aussi bien le platform-http servlet de Spring Boot que le platform-http Vert.x de Quarkus) et déplace un enregistrement produit vers un sujet choisi par l'attaquant — une injection inter-sujets (CWE-20 → CWE-74).

Chaque sous-répertoire est un projet autonome avec son propre Dockerfile, docker-compose.yml, et un README contenant tous les détails et les étapes de reproduction. En résumé, pour l'un ou l'autre :

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Résumé de la vulnérabilité

Avis de sécurité : https://camel.apache.org/security/CVE-2026-49098.html

Avertissement

Ces reproducteurs sont fournis uniquement pour la recherche en sécurité et les tests autorisés, pour une vulnérabilité publiquement divulguée et corrigée. Ne les utilisez pas contre des systèmes sans autorisation explicite.