安全研究

我向 Apache 软件基金会报告的漏洞，通过 ASF 安全流程 披露。15 个项目中的 46 个 CVE，2023 年至 2026 年。

如果存在公开的复现程序，则会提供链接。每个复现程序都是一个最小化、自包含的项目，用于演示该问题并指明修复该问题的版本。

在 25 个不同的 CWE 中，有两类占主导地位：不可信数据的反序列化（7 个）和 服务端请求伪造（7 个）。

整个 Apache 生态系统：16 个 CVE，14 个项目

Apache Camel：30 个 CVE

Camel 是我维护的项目，因此它受到最严格的审查。主要模式是 未过滤的入站标头到达生产者的控制平面，此外还有注册表和迁移路径中不安全反序列化的长尾问题。

为他人发现的问题提供的复现程序：26 个

作为 Camel 维护者，我也会为外部提交的报告构建复现程序，以确认问题并验证修复。这些不是我的发现。 功劳属于下面列出的报告者。

---

发现结果会私下报告给相关的 ASF 安全团队，并且仅在修复发布后才会公开。复现程序针对易受攻击的版本，旨在供防御者验证自身的暴露情况。