CVE-2026-33454

Riepilogo

Il componente Camel-Mail è vulnerabile all'iniezione di header del messaggio Camel. La strategia personalizzata di filtraggio degli header utilizzata dal componente (MailHeaderFilterStrategy) filtra solo la direzione 'out' tramite setOutFilterStartsWith, mentre non configura la direzione 'in' tramite setInFilterStartsWith. Di conseguenza, quando un'applicazione Camel consuma email tramite camel-mail (ad esempio via from(\"imap://...\") o from(\"pop3://...\")) il controllo del filtro in entrata viene saltato e gli header MIME con prefisso Camel vengono mappati senza filtri nell'Exchange. Un attaccante che può consegnare un'email a una casella di posta monitorata da tale consumer può iniettare header specifici di Camel che, per alcuni componenti Camel a valle del consumer di posta (come camel-bean, camel-exec o camel-sql), possono alterare il comportamento della route. Questo è lo stesso schema già affrontato in precedenza in camel-undertow (CVE-2025-30177) e nel più ampio filtro degli header in entrata (CVE-2025-27636 e CVE-2025-29891). Questo problema riguarda Apache Camel: dalla 3.0.0 alla 4.14.6 esclusa, dalla 4.15.0 alla 4.18.1 esclusa. Si consiglia agli utenti di aggiornare alla versione 4.19.0, che risolve il problema. Se gli utenti si trovano sul ramo di release LTS 4.18.x, si consiglia di aggiornare alla 4.18.1. Se gli utenti si trovano sul ramo di release LTS 4.14.x, si consiglia di aggiornare alla 4.14.6.

• CVE-2026-33454PoC

  Reproducer per CVE-2026-33454: iniezione di header in Apache Camel camel-mail che porta a RCE tramite camel-exec