CVE-2026-49099 — внедрение через заголовок sObjectQuery в camel-salesforce

Готовые к запуску proof-of-concept-репродукторы одной и той же уязвимости Apache Camel, по одному на каждый рантайм:

Обе — затронутые версии (исправлено в 4.14.8 / 4.18.3 / 4.21.0), и обе демонстрируют один и тот же дефект: AbstractSalesforceProcessor.getParameter() извлекает значение заголовка sObjectQuery (и его родственных — apexUrl, sObjectName, …) до значения, настроенного в конечной точке. Имена этих заголовков — простые строки без префикса Camel, и в camel-salesforce нет HeaderFilterStrategy, поэтому пограничный HTTP-фильтр (HttpHeaderFilterStrategy, который отбрасывает только заголовки Camel*) пропускает входящий HTTP-заголовок напрямую, и тот переопределяет ограниченный SOQL маршрута — переопределение SOQL-запроса / нарушение контроля доступа (CWE-74 + CWE-639).

Каждый подкаталог — самодостаточный проект со своими Dockerfile, docker-compose.yml и README — с записывающим компонентом-заглушкой salesforce, так что не требуется ни организация Salesforce, ни OAuth, ни сеть. Если коротко, для любого из них:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Сводка по уязвимости

Исправление переименовывает константы заголовков в соответствии с соглашением CamelSalesforce* (например, CamelSalesforceSObjectQuery), поэтому они отбрасываются на HTTP-границе, как и любой другой заголовок Camel*.

Рекомендации: https://camel.apache.org/security/CVE-2026-49099.html

Отказ от ответственности

Эти репродукторы предоставлены только для исследований в области безопасности и авторизованного тестирования — для публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.