CVE-2026-46592

总结

# 输入验证不当、意外代理或中介（'Confused Deputy'）漏洞影响 Apache Camel CXF SOAP 组件 camel-cxf 生产者根据 operationName（及 operationNamespace）Exchange 头选择在后端服务上调用哪个 SOAP 操作，而这些头的常量值（CxfConstants.OPERATION_NAME / OPERATION_NAMESPACE）原本是纯字符串 operationName / operationNamespace。由于这些名称不以 Camel / camel 前缀开头，HttpHeaderFilterStrategy（仅在 HTTP 边界阻止 Camel 头命名空间）会允许它们从入站 HTTP 请求直接传入 Exchange。在将 HTTP 消费者（例如 platform-http）桥接到 cxf: 生产者的路由中，任何 HTTP 客户端都可以设置 operationName 头，并让 CxfProducer 解析并调用与路由预期不同的 WSDL 操作——例如将读取操作替换为破坏性操作——作用于后端 SOAP 服务（即 confused-deputy 重定向）。该常量定义在共享的 camel-cxf-common 模块中，因此相同的非前缀名称也适用于 camel-cxfrs。当桥接消费者未经过身份验证时，无需任何凭据即可利用此漏洞。此问题影响 Apache Camel：4.0.0 至 4.14.8 之前、4.15.0 至 4.18.3 之前、4.19.0 至 4.21.0 之前。建议用户升级到修复此问题的 4.21.0 版本。如果用户使用 4.14.x LTS 发布流，建议升级到 4.14.8。如果用户使用 4.18.x 发布流，建议升级到 4.18.3。升级后，操作选择头更名为 CamelCxfOperationName / CamelCxfOperationNamespace，并会在传输边界被过滤；有关跨传输载体头的模式，请参阅 4.21 升级指南。对于无法立即升级的部署，请勿从不信任的输入中选择 CXF 操作：在 cxf: 生产者之前，从任何不受信任的入站流量中剥离 operationName 和 operationNamespace 头，并在路由中从可信来源设置操作。

• CVE-2026-46592PoC

  CVE-2026-46592 的复现工具：Apache Camel camel-cxf 中的 operationName 头注入，将所调用的 SOAP 操作（混淆代理）从读取操作重定向到破坏性操作（已在 4.14.8/4.18.3/4.21.0 中修复）