CVE-2026-85313

Резюме

Уязвимость «Разрешающая кросс-доменная политика с недоверенными доменами» в компоненте Apache Camel Jetty. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Установка enableCORS на эндпоинте Jetty приводила к установке CrossOriginFilter Jetty с его стандартными настройками по умолчанию, которые принимают любой origin и разрешают передачу учётных данных. Таким образом, оператор, запросивший CORS, получал политику, позволяющую странице с любого origin выполнять кросс-доменные запросы с учётными данными к эндпоинту и читать ответы, без какого-либо указания на то, что включение этой опции выбрало политику «разрешить всё», а не пустую политику, которую предполагалось заполнить. Это тот же класс дефекта, что и в опубликованном вместе с ним advisory для platform-http-vertx, но в другом компоненте. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. enableCORS больше не предоставляет учётные данные origin, который не указал оператор. Развёртывание, полагавшееся на принятие любого origin, теперь должно явно перечислять свои origin. Для развёртываний, которые не могут обновиться немедленно, настройте параметры CrossOriginFilter явно, вместо того чтобы полагаться на то, что устанавливает enableCORS, указав разрешённые origin.

Источники

• CVE-2026-85313PoC

  Запускаемое proof-of-concept на Spring Boot, воспроизводящее CVE-2026-85313, где Apache Camel camel-jetty enableCORS отражает любой origin с учётными данными, плюс контрольная версия с исправлением.