CVE-2026-84176

Резюме

Уязвимость «Разрешающая кросс-доменная политика с недоверенными доменами» в компоненте Apache Camel Platform HTTP Vertx. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Метод createCorsHandler() устанавливал Access-Control-Allow-Credentials: true вне проверки origin, поэтому заголовок отправлялся в каждом ответе на запрос, содержащий заголовок Origin, включая ответы для origin, которые обработчик только что решил не разрешать. Когда camel.server.cors.origins не задан, обработчик считает любой origin разрешённым и отражает Origin вызывающей стороны обратно в Access-Control-Allow-Origin. В совокупности это создаёт конфигурацию с учётными данными для любого origin, которую спецификация fetch отказывается выражать литеральным подстановочным знаком, — именно поэтому отражение origin является обычным способом обойти это правило. Таким образом, страница на любом origin могла выполнять кросс-оригинные запросы с учётными данными к эндпоинту Camel и читать ответы. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь Access-Control-Allow-Credentials отправляется только тогда, когда origin запроса совпал с origin, который действительно настроил оператор. При отсутствии списка origin он по-прежнему отражается, как и раньше, но учётные данные не предоставляются, а Vary: Origin теперь устанавливается всякий раз, когда origin отражается, чтобы общий кэш не мог отдать ответ одного origin другому. Для развёртываний, которые не могут обновиться немедленно, задайте camel.server.cors.origins явным списком origin, которым нужен доступ, вместо того чтобы оставлять его незаданным.

Источники

• CVE-2026-84176PoC

  Запускаемый proof-of-concept на Spring Boot, воспроизводящий CVE-2026-84176 — уязвимость CORS с учётными данными и любым origin в Apache Camel camel-platform-http-vertx, с шагами проверки.