CVE-2026-49098 — Injeção de Cabeçalho kafka.OVERRIDE_TOPIC do camel-kafka

Reprodutores de prova de conceito executáveis para a mesma vulnerabilidade do Apache Camel, um por runtime:

Ambas são versões afetadas (o problema foi corrigido nas versões 4.14.8 / 4.18.3 / 4.21.0), e ambas demonstram o mesmo defeito: KafkaProducer.evaluateTopic() lê o cabeçalho kafka.OVERRIDE_TOPIC sem o prefixo Camel e o prefere em relação ao tópico configurado no endpoint. Ele escapa do filtro de cabeçalho HTTP (tanto do servlet platform-http do Spring Boot quanto do Vert.x platform-http do Quarkus) e move um registro produzido para um tópico escolhido pelo atacante — injeção entre tópicos (CWE-20 → CWE-74).

Cada subdiretório é um projeto autocontido com seu próprio Dockerfile, docker-compose.yml e README com detalhes completos e etapas de reprodução. Em resumo, para qualquer um dos dois:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumo da Vulnerabilidade

Aviso de segurança: https://camel.apache.org/security/CVE-2026-49098.html

Aviso Legal

Estes reprodutores são fornecidos apenas para pesquisa de segurança e testes autorizados, para uma vulnerabilidade divulgada publicamente e já corrigida. Não os use contra sistemas sem permissão explícita.