CVE-2026-25747

Riepilogo

# Vulnerabilità di deserializzazione di dati non attendibili nel componente LevelDB di Apache Camel La classe `DefaultLevelDBSerializer` di Camel-LevelDB deserializza i dati letti dal repository di aggregazione LevelDB utilizzando `java.io.ObjectInputStream` senza applicare alcun `ObjectInputFilter` o restrizioni sul caricamento delle classi. Un attaccante che può scrivere nei file del database LevelDB utilizzati da un'applicazione Camel può iniettare un oggetto Java serializzato appositamente costruito che, quando deserializzato durante le normali operazioni del repository di aggregazione, determina l'esecuzione di codice arbitrario nel contesto dell'applicazione. Questo problema riguarda Apache Camel: dalla versione 4.10.0 precedente alla 4.10.8, dalla 4.14.0 precedente alla 4.14.5, dalla 4.15.0 precedente alla 4.18.0. Si consiglia agli utenti di aggiornare alla versione 4.18.0, che risolve il problema. Per le release LTS 4.10.x, si consiglia agli utenti di aggiornare alla 4.10.9, mentre per le release LTS 4.14.x, si consiglia agli utenti di aggiornare alla 4.14.5.

• CVE-2026-25747PoC

  CVE-2026-25747 - Vulnerabilità di deserializzazione in Camel LevelDB

• CVE-2026-33453Exploit

  Fornisce proof-of-concept exploit funzionanti e analisi dettagliata per tre vulnerabilità critiche di Apache Camel, inclusa l'iniezione di header CoAP e la deserializzazione non sicura che porta all'esecuzione remota di codice.