enableCORS 授予任意来源的凭据访问权限针对 Apache Camel 漏洞的可运行概念验证复现程序：在 Jetty 端点上设置 enableCORS=true 会安装 Jetty 的 CrossOriginFilter，并采用其默认配置——该配置会反射任意来源并允许凭据。操作者仅仅请求启用 CORS，却得到了一个策略，允许任意来源的页面向该端点发起携带凭据的跨源请求并读取响应。反射来源与 Access-Control-Allow-Credentials: true 的组合，正是 Fetch 标准拒绝让 * 表达的凭据化任意来源配置——反射是绕过该规则的常见方式（CWE-942）。
仅限 Spring Boot。 本复现程序仅包含一个 Camel Spring Boot 模块。该缺陷位于
camel-jetty中，它内嵌了一个 Jetty HTTP 服务器。Camel Quarkus 没有camel-quarkus-jetty扩展——Quarkus 通过 Vert.x（platform-http）提供 HTTP 服务——因此没有对应的 Quarkus 复现程序。（配套公告 CVE-2026-85316 涵盖platform-http-vertx中的同类缺陷。）Spring Boot 模块演示了受影响以及修复后的行为。
| 运行时 | 目录 | 技术栈 |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-jetty 4.22.0（受影响；修复版本 4.22.1），Jetty 12.1.11 |
两个 Jetty 服务器在同一进程中运行：存在漏洞的端点 /protected（端口 8081）声明了 enableCORS=true，而验证器端点 /exploit/attack（端口 8080）扮演攻击者的浏览器。每次调用时，验证器向 /protected 发送携带 Origin: https://evil.example 的跨源 GET 请求——该来源从未被部署授权——并报告返回的 CORS 头。
Access-Control-Allow-Origin: https://evil.example 并且返回 Access-Control-Allow-Credentials: true——任意来源都可以读取携带凭据的响应。Access-Control-Allow-Credentials。cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected: ACAO reflected + ACAC: true; >>> PROVEN
docker compose down
# Patched control
mvn clean package -Dcamel.version=4.22.1
java -jar target/cve-2026-85313-jetty-cors-credentials-0.0.1-SNAPSHOT.jar &
curl -s http://localhost:8080/exploit/attack # fixed: ACAO reflected, ACAC absent; >>> Not exploited
| 属性 | 值 |
|---|---|
| 组件 | camel-jetty（JettyHttpComponent、enableCORS） |
| CWE | CWE-942（使用不可信域名的宽松跨域策略） |
| 严重程度 | 中危 |
| 攻击向量 | 任意来源的页面向仅配置了 enableCORS=true 的端点发起携带凭据的跨源请求 |
| 影响 | 端点会反射攻击者的来源并授予凭据，因此攻击者页面可以读取经过身份验证的响应 |
| 受影响版本 | 从 4.0.0 起至 4.18.5 之前，从 4.19.0 起至 4.22.1 之前 |
| 修复版本 | 4.18.5、4.22.1、4.23.0 |
| JIRA | CAMEL-24450 |
| 致谢 | Claude Security Scan Tool |
公告：https://camel.apache.org/security/CVE-2026-85313.html
JettyHttpComponent 现在在设置 enableCORS 时会应用其自身的 CORS 默认值：除非操作员显式配置，否则 allowCredentials 默认为 false。来源反射保持不变，因此启用 CORS 后，对于不携带凭据的请求仍可正常工作；需要携带凭据的跨源请求的操作员应设置 filterInit.allowCredentials=true，并应在 filterInit.allowedOrigins 中指定来源（若未指定则会收到警告）。
应显式配置 CrossOriginFilter 参数，而不是依赖 enableCORS 所安装的配置——在 filterInit.allowedOrigins 中指定允许的来源，并且除非已指定来源，否则不要开启 filterInit.allowCredentials。
本仓库出于教育和防御目的发布：帮助 Apache Camel 用户理解该漏洞、验证自身是否受影响，并确认升级可以解决该问题。“攻击者”来源是一个无害的占位符（https://evil.example），端点和探测程序均在复现程序内部运行。请勿将本材料用于您不拥有或运营的系统。