CVE-2026-49099 — Injeção de Cabeçalho sObjectQuery no camel-salesforce

Reprodutores executáveis de prova de conceito para a mesma vulnerabilidade do Apache Camel, um por runtime:

Ambas são versões afetadas (corrigidas em 4.14.8 / 4.18.3 / 4.21.0) e demonstram o mesmo defeito: AbstractSalesforceProcessor.getParameter() resolve o cabeçalho sObjectQuery (e seus irmãos apexUrl, sObjectName, …) antes do valor configurado do endpoint. Esses nomes de cabeçalho são strings simples, sem o prefixo Camel, e o camel-salesforce não inclui nenhum HeaderFilterStrategy; portanto, o filtro de fronteira HTTP (HttpHeaderFilterStrategy, que remove apenas Camel*) permite que um cabeçalho HTTP de entrada passe diretamente e substitua o SOQL com escopo da rota — uma substituição de consulta SOQL / controle de acesso quebrado (CWE-74 + CWE-639).

Cada subdiretório é um projeto autônomo com seu próprio Dockerfile, docker-compose.yml e README — com um componente salesforce substituto de gravação, portanto não é necessário org Salesforce, OAuth ou rede. Em resumo, para qualquer um deles:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumo da Vulnerabilidade

A correção renomeia as constantes de cabeçalho para a convenção CamelSalesforce* (ex.: CamelSalesforceSObjectQuery), para que sejam removidas na fronteira HTTP como qualquer outro cabeçalho Camel*.

Aviso de segurança: https://camel.apache.org/security/CVE-2026-49099.html

Aviso Legal

Estes reprodutores são fornecidos apenas para pesquisa de segurança e testes autorizados, para uma vulnerabilidade divulgada publicamente e corrigida. Não os utilize contra sistemas sem permissão explícita.