CVE-2026-84176

Riepilogo

Vulnerabilità di tipo Permissive Cross-domain Policy with Untrusted Domains nel componente Apache Camel Platform HTTP Vertx. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. createCorsHandler() impostava Access-Control-Allow-Credentials: true al di fuori del controllo dell'origine, quindi l'header veniva inviato in ogni risposta a una richiesta che conteneva un header Origin, comprese le risposte verso origini che il gestore aveva appena deciso di non consentire. Quando camel.server.cors.origins non è impostato, il gestore considera consentita ogni origine e rimanda indietro l'Origin del chiamante stesso come Access-Control-Allow-Origin. Insieme, questi comportamenti producono la configurazione con credenziali e qualsiasi origine che la specifica fetch rifiuta di esprimere come wildcard letterale, ed è proprio per questo che riflettere l'origine è il modo abituale per aggirare tale regola. Una pagina su qualsiasi origine poteva quindi effettuare richieste cross-origin con credenziali verso l'endpoint Camel e leggere le risposte. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo di rilascio LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x devono aggiornare alla 4.22.1. Access-Control-Allow-Credentials viene ora inviato solo quando l'origine della richiesta corrisponde a un'origine effettivamente configurata dall'operatore. In assenza di un elenco di origini l'origine viene ancora riflessa, come prima, ma le credenziali non vengono concesse, e Vary: Origin viene ora impostato ogni volta che l'origine viene riflessa, in modo che una cache condivisa non possa servire la risposta di un'origine a un'altra. Per le distribuzioni che non possono aggiornare immediatamente, impostare camel.server.cors.origins sull'elenco esplicito delle origini che necessitano di accesso anziché lasciarlo non impostato.

Fonti

• CVE-2026-84176PoC

  Proof-of-concept eseguibile in Spring Boot che riproduce CVE-2026-84176, una vulnerabilità CORS con credenziali e qualsiasi origine in Apache Camel camel-platform-http-vertx, con passaggi di verifica.