CVE-2026-84176

总结

Apache Camel Platform HTTP Vertx 组件中的“允许跨域策略与不受信任域”漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。createCorsHandler() 在源检查之外设置了 Access-Control-Allow-Credentials: true，因此对于携带 Origin 头的请求，该头会出现在每一个响应中，包括对处理程序刚刚决定不允许的源的响应。当 camel.server.cors.origins 未设置时，处理程序会将所有源视为允许，并将调用方自己的 Origin 原样回显为 Access-Control-Allow-Origin。两者结合便产生了带凭据的任意源配置，而 fetch 规范拒绝将其表达为字面通配符，这正是回显源成为绕过该规则的常用方式的原因。因此，任意源上的页面都可以向 Camel 端点发起带凭据的跨源请求并读取响应。升级到 Apache Camel 4.23.0 即可修复此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。现在仅当请求源与操作员实际配置的源匹配时，才会发送 Access-Control-Allow-Credentials。在没有源列表的情况下，源仍会像以前一样被回显，但不会授予凭据，并且现在只要回显源就会设置 Vary: Origin，以便共享缓存无法将一个源的响应提供给另一个源。对于无法立即升级的部署，请将 camel.server.cors.origins 设置为需要访问的源的显式列表，而不是保持未设置。

来源

• CVE-2026-84176PoC

  可运行的 Spring Boot 概念验证，复现 CVE-2026-84176——Apache Camel camel-platform-http-vertx 中一个 CORS 凭据任意源漏洞，并附带验证步骤。