CVE-2026-84178
Apache Camel: межсайтовая подделка запроса при входе через Camel-OAuth из-за отсутствия привязки state в потоке кода авторизации
- Опубликовано
- 19 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 19 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 7,6 %
- Дата модели
- 27 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость Cross-Site Request Forgery (CSRF) в компоненте OAuth Apache Camel. Проблема затрагивает Apache Camel: с 4.11.0 до 4.18.5, с 4.19.0 до 4.22.1. Обратный вызов с кодом авторизации не содержал параметра state, привязывающего его к запросу авторизации, инициировавшему поток, и обратный вызов не проверял его. Таким образом, код авторизации, полученный в любом браузере, мог быть погашен при обратном вызове и связан с той сессией, которая его предъявила, что представляет собой межсайтовую подделку запроса при входе: жертва может быть незаметно авторизована под идентификатором, контролируемым злоумышленником, так что действия, которые жертва затем выполняет, и данные, которые она затем отправляет, попадают в учётную запись злоумышленника. Та же невалидированная обработка обратного вызова также позволяла влиять на цель перенаправления после аутентификации, что давало открытое перенаправление с доверенного источника. Проверка state выполняется до погашения кода авторизации, поэтому эти пути достижимы без какого-либо взаимодействия с провайдером идентификации. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Запрос авторизации теперь выдаёт значение state, привязанное к сессии, а обратный вызов отклоняет запрос, в котором state отсутствует или не совпадает, останавливая маршрут с ответом 400. Для развёртываний, которые не могут обновиться немедленно, завершайте поток кода авторизации в компоненте, который выполняет собственную привязку state, вместо того чтобы полагаться на обратный вызов Camel. Обратите внимание, что после обновления развёртывание за прокси, который отбрасывает или перезаписывает строку запроса обратного вызова, начнёт получать ответы 400, поскольку параметр state должен сохраняться при полном цикле обмена.
Источники
Рабочий воспроизводитель proof-of-concept для CVE-2026-84178 — CSRF-уязвимости при входе в callback авторизационного кода Apache Camel camel-oauth, который обменивает коды без проверки state.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.