CVE-2026-84176

Resumo

Vulnerabilidade de Política Cross-domain Permissiva com Domínios Não Confiáveis no componente Apache Camel Platform HTTP Vertx. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. createCorsHandler() definia Access-Control-Allow-Credentials: true fora da verificação de origem, de modo que o cabeçalho era enviado em todas as respostas a uma requisição que carregasse um cabeçalho Origin, incluindo respostas a origens que o handler acabara de decidir não permitir. Quando camel.server.cors.origins não está definido, o handler trata todas as origens como permitidas e devolve o próprio Origin do chamador como Access-Control-Allow-Origin. Juntos, esses comportamentos produzem a configuração de qualquer origem com credenciais que a especificação fetch se recusa a expressar como um wildcard literal, o que é precisamente a razão pela qual refletir a origem é a forma habitual de contornar essa regra. Uma página em qualquer origem poderia, portanto, fazer requisições cross-origin com credenciais ao endpoint do Camel e ler as respostas. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de releases LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de releases LTS 4.22.x devem atualizar para 4.22.1. Access-Control-Allow-Credentials agora só é enviado quando a origem da requisição corresponde a uma origem que o operador realmente configurou. Sem uma lista de origens, a origem ainda é refletida, como antes, mas as credenciais não são concedidas, e Vary: Origin agora é definido sempre que a origem é refletida, para que um cache compartilhado não possa servir a resposta de uma origem a outra. Para implantações que não podem atualizar imediatamente, defina camel.server.cors.origins com a lista explícita de origens que precisam de acesso em vez de deixá-lo indefinido.

Fontes

• CVE-2026-84176PoC

  Prova de conceito executável em Spring Boot que reproduz a CVE-2026-84176, uma falha de CORS com credenciais e qualquer origem no Apache Camel camel-platform-http-vertx, com etapas de verificação.