CVE-2026-46592 — camel-cxf operationName Injeção de Cabeçalho (Redirecionamento de Operação SOAP)

Reprodutores executáveis de prova de conceito para a mesma vulnerabilidade do Apache Camel, um por runtime:

Ambas são versões afetadas (corrigidas em 4.14.8 / 4.18.3 / 4.21.0) e demonstram o mesmo defeito: CxfProducer#getBindingOperationInfo primeiro procura um cabeçalho de mensagem operationName e só recorre ao defaultOperationName do endpoint quando ele está ausente. O valor dessa constante de cabeçalho é a string simples operationName — não CamelCxfOperationName — portanto, o filtro de fronteira HTTP (que remove apenas Camel*) deixa passar direto um cabeçalho HTTP de entrada com esse nome. Um cliente não confiável adiciona operationName: deleteAccount e o getBalance da rota, fixo e somente leitura, torna-se uma chamada destrutiva (CWE-441, deputado confuso).

As duas variantes diferem apenas em como o serviço SOAP backend é disponibilizado: a variante Quarkus o publica com quarkus-cxf no servidor HTTP Quarkus gerenciado (portanto, o contrato carrega anotações JAX-WS @WebService), enquanto a variante Spring Boot o cria programaticamente com um CXF ServerFactoryBean em uma porta separada. O defeito não é afetado.

Cada subdiretório é um projeto autossuficiente com seu próprio Dockerfile, docker-compose.yml e README. Em resumo, para qualquer um deles:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumo da Vulnerabilidade

Aviso de segurança: https://camel.apache.org/security/CVE-2026-46592.html

Aviso Legal

Estes reprodutores são fornecidos apenas para pesquisa de segurança e testes autorizados, para uma vulnerabilidade divulgada publicamente e corrigida. Não os utilize contra sistemas sem permissão explícita.