CVE-2026-48206 — Iniezione dell'header IssueKey in camel-jira

Reproducer proof-of-concept eseguibili per la stessa vulnerabilità Apache Camel, uno per runtime:

Entrambe sono versioni affette (corrette in 4.14.8 / 4.18.3 / 4.21.0) e dimostrano lo stesso identico difetto: i produttori camel-jira leggono i propri parametri operativi (chiave dell'issue, chiave del progetto, ID della transizione, …) dagli header dei messaggi Exchange le cui costanti — IssueKey, ProjectKey, IssueTransitionId, … — sono stringhe semplici senza prefisso Camel. Il filtro di confine HTTP (HttpHeaderFilterStrategy) rimuove solo Camel*, quindi un header HTTP in entrata con quel nome passa direttamente nell'Exchange e sovrascrive ciò su cui agisce la route. Un client non autenticato inietta IssueKey: PROD-999 e l'account di servizio della route elimina un issue arbitrario (CWE-639).

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README. In breve, per entrambi:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della vulnerabilità

La correzione rinomina le costanti degli header secondo la convenzione CamelJira* (ad es. CamelJiraIssueKey), così vengono rimosse al confine HTTP come ogni altro header Camel*.

Avviso di sicurezza: https://camel.apache.org/security/CVE-2026-48206.html

Avvertenza

Questi reproducer sono forniti solo per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non utilizzarli contro sistemi senza esplicita autorizzazione.