CVE-2026-49098 — camel-kafka: iniezione di intestazione kafka.OVERRIDE_TOPIC

Riproduttori proof-of-concept eseguibili per la stessa vulnerabilità Apache Camel, uno per runtime:

Entrambe sono versioni interessate (il problema è stato corretto in 4.14.8 / 4.18.3 / 4.21.0) ed entrambe dimostrano lo stesso identico difetto: KafkaProducer.evaluateTopic() legge l'intestazione kafka.OVERRIDE_TOPIC senza prefisso Camel e la preferisce rispetto al topic configurato nell'endpoint. Elude il filtro delle intestazioni HTTP (sia la platform-http servlet di Spring Boot che la platform-http Vert.x di Quarkus) e sposta un record prodotto su un topic scelto dall'attaccante — iniezione cross-topic (CWE-20 → CWE-74).

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README con tutti i dettagli e i passaggi di riproduzione. In breve, per entrambi:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della vulnerabilità

Avviso: https://camel.apache.org/security/CVE-2026-49098.html

Disclaimer

Questi riproduttori sono forniti esclusivamente per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non utilizzarli contro sistemi senza esplicita autorizzazione.