CVE-2026-85313

सारांश

Apache Camel Jetty घटक में अविश्वसनीय डोमेन के साथ अनुमतिपूर्ण क्रॉस-डोमेन नीति (Permissive Cross-domain Policy with Untrusted Domains) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Jetty endpoint पर enableCORS सेट करने से Jetty का CrossOriginFilter उसके डिफ़ॉल्ट मानों के साथ इंस्टॉल हो जाता था, जो हर origin को स्वीकार करते हैं और credentials की अनुमति देते हैं। इस प्रकार CORS का अनुरोध करने वाले ऑपरेटर को ऐसी नीति मिलती थी जो किसी भी origin के पेज को endpoint पर credentialed क्रॉस-origin अनुरोध करने और प्रतिक्रियाओं को पढ़ने देती थी, बिना किसी संकेत के कि विकल्प चालू करने से भरने के लिए खाली नीति के बजाय allow-all नीति चुनी गई थी। यह उसी दोष वर्ग का है जो इसके साथ प्रकाशित platform-http-vertx advisory में है, किंतु भिन्न घटक में। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। enableCORS अब उस origin को credentials नहीं देता जिसका नाम ऑपरेटर ने नहीं लिया। जो डिप्लॉयमेंट किसी भी origin के स्वीकार किए जाने पर निर्भर था, उसे अब अपने origins स्पष्ट रूप से सूचीबद्ध करने होंगे। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उन्हें enableCORS जो इंस्टॉल करता है उस पर निर्भर रहने के बजाय CrossOriginFilter के पैरामीटर स्पष्ट रूप से कॉन्फ़िगर करने चाहिए, और अनुमत origins के नाम बताने चाहिए।

स्रोत

• CVE-2026-85313PoC

  Apache Camel camel-jetty में enableCORS द्वारा किसी भी ऑरिजिन को क्रेडेंशियल्स के साथ प्रतिबिंबित करने वाले CVE-2026-85313 को पुनः उत्पन्न करने वाला एक रन करने योग्य Spring Boot प्रूफ-ऑफ-कॉन्सेप्ट, साथ ही एक निश्चित-संस्करण नियंत्रण।