CVE-2026-85313

Resumo

Vulnerabilidade de Política Cross-domain Permissiva com Domínios Não Confiáveis no componente Apache Camel Jetty. Este problema afeta o Apache Camel: de 4.0.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. Definir enableCORS em um endpoint Jetty instalava o CrossOriginFilter do Jetty com seus padrões originais, que aceitam qualquer origem e permitem credenciais. Um operador que solicitava CORS, portanto, obtinha uma política que permitia que uma página de qualquer origem fizesse requisições cross-origin com credenciais ao endpoint e lesse as respostas, sem qualquer indicação de que ativar a opção havia escolhido uma política de permitir tudo em vez de uma vazia a ser preenchida. Esta é a mesma classe de defeito do aviso platform-http-vertx publicado em conjunto, em um componente diferente. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. enableCORS não concede mais credenciais a uma origem que o operador não especificou. Uma implantação que dependia da aceitação de qualquer origem agora deve listar suas origens explicitamente. Para implantações que não podem atualizar imediatamente, configure os parâmetros do CrossOriginFilter explicitamente em vez de depender do que enableCORS instala, especificando as origens permitidas.

Fontes

• CVE-2026-85313PoC

  Prova de conceito executável em Spring Boot que reproduz a CVE-2026-85313, na qual o enableCORS do camel-jetty do Apache Camel reflete qualquer origem com credenciais, além de um controle com versão corrigida.