CVE-2026-85313

Riepilogo

Vulnerabilità di tipo Permissive Cross-domain Policy with Untrusted Domains nel componente Apache Camel Jetty. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. L'impostazione di enableCORS su un endpoint Jetty installava il CrossOriginFilter di Jetty con i suoi valori predefiniti standard, che accettano qualsiasi origine e consentono le credenziali. Un operatore che richiedeva CORS otteneva quindi una policy che permetteva a una pagina di qualsiasi origine di effettuare richieste cross-origin con credenziali verso l'endpoint e di leggerne le risposte, senza alcuna indicazione che l'attivazione dell'opzione avesse scelto una policy allow-all anziché una policy vuota da compilare. Si tratta della stessa classe di difetto dell'advisory platform-http-vertx pubblicato insieme a questo, in un componente diverso. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo di rilascio LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x devono aggiornare alla 4.22.1. enableCORS non concede più credenziali a un'origine che l'operatore non ha specificato. Un deployment che faceva affidamento sull'accettazione di qualsiasi origine deve ora elencare esplicitamente le proprie origini. Per i deployment che non possono aggiornare immediatamente, configurare esplicitamente i parametri di CrossOriginFilter anziché affidarsi a ciò che installa enableCORS, specificando le origini consentite.

Fonti

• CVE-2026-85313PoC

  Proof-of-concept eseguibile in Spring Boot che riproduce CVE-2026-85313, in cui Apache Camel camel-jetty enableCORS riflette qualsiasi origine con credenziali, più un controllo con versione corretta.