CVE-2026-49099 — Injection d'en-tête sObjectQuery de camel-salesforce

Reproducteurs de preuve de concept exécutables pour la même vulnérabilité Apache Camel, un par environnement d'exécution :

Les deux sont des versions affectées (corrigées en 4.14.8 / 4.18.3 / 4.21.0) et démontrent toutes deux le même défaut : AbstractSalesforceProcessor.getParameter() résout l'en-tête sObjectQuery (et ses homologues apexUrl, sObjectName, …) en amont de la valeur configurée de l'endpoint. Ces noms d'en-tête sont des chaînes nues, sans préfixe Camel, et camel-salesforce n'embarque aucun HeaderFilterStrategy ; le filtre de frontière HTTP (HttpHeaderFilterStrategy, qui ne supprime que les en-têtes Camel*) laisse donc un en-tête HTTP entrant passer directement et écraser la SOQL à portée de la route — un écrasement de requête SOQL / un contrôle d'accès défaillant (CWE-74 + CWE-639).

Chaque sous-répertoire est un projet autonome avec son propre Dockerfile, docker-compose.yml et README — avec un composant salesforce de substitution qui enregistre les requêtes, si bien qu'aucune organisation Salesforce, aucun OAuth ni accès réseau n'est requis. En bref, pour l'un ou l'autre :

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Résumé de la vulnérabilité

Le correctif renomme les constantes d'en-tête selon la convention CamelSalesforce* (par ex. CamelSalesforceSObjectQuery), afin qu'elles soient supprimées à la frontière HTTP comme tout autre en-tête Camel*.

Avis : https://camel.apache.org/security/CVE-2026-49099.html

Avertissement

Ces reproducteurs sont fournis uniquement pour la recherche en sécurité et les tests autorisés, pour une vulnérabilité publiquement divulguée et corrigée. Ne les utilisez pas contre des systèmes sans autorisation explicite.