CVE-2026-84178

总结

Apache Camel OAuth 组件中的跨站请求伪造（CSRF）漏洞。此问题影响 Apache Camel：从 4.11.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。授权码回调未携带将其与启动该流程的授权请求绑定的 state 参数，且回调也未对其进行验证。因此，在任何浏览器中获取的授权码都可以在回调处被兑换，并与提交该回调的任意会话关联，这就是登录型跨站请求伪造：受害者可能在不知情的情况下以攻击者控制的身份登录，从而使受害者随后执行的操作以及提交的数据落入攻击者的账户。同样未经校验的回调处理还允许影响认证后的重定向目标，从而形成来自受信任源站的开放重定向。state 检查在授权码被兑换之前运行，因此这些路径无需与身份提供方进行任何交互即可被触发。请升级至 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流版本的用户应升级至 4.18.5。使用 4.22.x LTS 发布流版本的用户应升级至 4.22.1。授权请求现在会签发一个绑定到会话的 state 值，回调会拒绝 state 缺失或不匹配的请求，并以 400 响应终止该路由。对于无法立即升级的部署，请在自行执行 state 绑定的组件中终止授权码流程，而不要依赖 Camel 回调。请注意，升级后，如果部署位于会丢弃或重写回调查询字符串的代理之后，将开始出现 400 响应，因为 state 参数必须在往返过程中保留。

来源

• CVE-2026-84178PoC

  针对 CVE-2026-84178 的可运行概念验证复现程序，该漏洞是 Apache Camel camel-oauth 授权码回调中的登录 CSRF，会在未验证 state 的情况下兑换授权码。