CVE-2026-85314

Resumo

Vulnerabilidade de Validação de Entrada Imprópria no componente Apache Camel Mail. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. A CVE-2026-46584 tratou dos cabeçalhos de e-mail que chegavam ao Exchange sem passar por um filtro de cabeçalhos, mas o formato de dados MimeMultipart manteve um caminho não filtrado: a desmarshalling de uma mensagem multipart mapeava os cabeçalhos mail.smtp para o Exchange sem qualquer filtro aplicado. Esses nomes ficam fora do namespace Camel que os filtros de consumidor bloqueiam, pelo que uma mensagem elaborada por um remetente externo ainda podia defini-los, e o namespace mail.smtp influencia a forma como um produtor de e-mail a jusante se liga e envia. Trata-se de uma correção incompleta da CVE-2026-46584 e não de uma nova classe de defeito: uma implementação que aplicou esse aviso e considerou o camel-mail resolvido permaneceu exposta neste caminho. Atualize para o Apache Camel 4.23.0, que corrige o problema. Os utilizadores do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Os utilizadores do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. O formato de dados MimeMultipart agora aplica o filtro de cabeçalhos na desmarshalling, fechando o caminho que a CVE-2026-46584 deixou aberto. Para implementações que não possam atualizar imediatamente, remova o namespace após o formato de dados com removeHeaders("mail.smtp*") antes de qualquer produtor de e-mail.

Fontes

• CVE-2026-85314PoC

  Prova de conceito executável que reproduz a CVE-2026-85314, demonstrando a injeção de cabeçalho mail.smtp em MimeMultipart do camel-mail no Camel Spring Boot e no Camel Quarkus, com controles corrigidos.