CVE-2026-85313

总结

Apache Camel Jetty 组件中存在“允许不受信任域的宽松跨域策略”漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。在 Jetty 端点上设置 enableCORS 会安装 Jetty 的 CrossOriginFilter 并使用其默认配置，该配置接受所有来源并允许携带凭据。因此，操作员请求启用 CORS 后得到的策略允许任意来源的页面向该端点发起携带凭据的跨域请求并读取响应，而没有任何迹象表明开启该选项选择的是允许所有来源的策略，而非一个待填写的空策略。这与同期发布的 platform-http-vertx 公告属于同一类缺陷，只是位于不同的组件中。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。enableCORS 不再向操作员未指定的来源授予凭据。依赖接受任意来源的部署现在必须显式列出其来源。对于无法立即升级的部署，请显式配置 CrossOriginFilter 参数，而不是依赖 enableCORS 所安装的配置，并指定允许的来源。

来源

• CVE-2026-85313PoC

  可运行的 Spring Boot 概念验证，复现 CVE-2026-85313：Apache Camel camel-jetty 的 enableCORS 会以凭据反射任意来源，并附带修复版本对照。