CVE-2026-85316

总结

Apache Camel Platform HTTP 组件中存在访问控制粒度不足漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。该组件通过测试端点配置的路径是否以字符串 proxy 开头来决定端点是否以代理模式运行，而不是通过精确匹配路径。因此，任何路径仅以这些字符开头的端点——proxyStatus、proxy-config、proxying 等——都会在路由作者未要求的情况下成为代理端点。代理端点会将请求转发出去，因此原本打算提供自身内容的端点反而会代表调用它的任何一方中继流量，这既是一种请求伪造原语，也会暴露转发路径所能到达的任何内容。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。现在代理模式通过精确路径匹配而非前缀来选择。对于无法立即升级的部署，请重命名任何以 proxy 开头但不打算作为代理的端点路径。

来源

• CVE-2026-85316PoC

  针对 CVE-2026-85316 的可运行概念验证复现程序，演示 Apache Camel camel-platform-http 路径前缀匹配中非预期的代理模式，并包含修复版本对照。