CVE-2026-46726 — camel-vertx-websocket Iniezione di Header (SSRF + Divulgazione di Segreti)

Riproduttori proof-of-concept eseguibili per la stessa vulnerabilità di Apache Camel, uno per runtime:

Entrambe sono versioni affette (corrette in 4.14.8 / 4.18.3 / 4.21.0), e entrambe mostrano lo stesso difetto: VertxWebsocketConsumer#populateExchangeHeaders copia i parametri della query della connessione WebSocket sull'Exchange senza un HeaderFilterStrategy. Un client fornisce CamelHttpUri come parametro della query e reindirizza il producer camel-http a valle dove preferisce (SSRF, CWE-918). Poiché il producer risolve anche i segnaposto delle proprietà Camel su quell'URI controllato dall'attaccante, un {{app.secret}} iniettato viene espanso al suo valore reale e inviato al collector dell'attaccante (esposizione di informazioni, CWE-200).

Le due varianti differiscono solo per dove viene servito il feed: l'estensione camel-quarkus-vertx-websocket vincola sempre il consumer al server HTTP Quarkus gestito e rifiuta qualsiasi altro host/porta, quindi la variante Quarkus serve /feed su :8080 insieme ai suoi endpoint REST. Il difetto non è influenzato.

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README. In breve, per entrambi:

cd camel-spring-boot   # oppure: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della Vulnerabilità

Avviso: https://camel.apache.org/security/CVE-2026-46726.html

Disclaimer

Questi riproduttori sono forniti esclusivamente per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non usarli contro sistemi senza esplicita autorizzazione.