CVE-2026-47323

Giriş filtrasiyasının olmaması səbəbindən Camel-CXF və Camel-Knative Mesaj Başlığının İnyeksiyası CXF və Knative HeaderFilterStrategy tətbiqləri (camel-cxf-rest-də CxfRsHeaderFilterStrategy, camel-cxf-transport-da CxfHeaderFilterStrategy və camel-knative-http-da KnativeHttpHeaderFilterStrategy) yalnız setOutFilterStartsWith vasitəsilə çıxan Camel daxili başlıqlarını filtrləyir, lakin setInFilterStartsWith vasitəsilə giriş filtrasiyasını konfiqurasiya etmir. Nəticədə, autentifikasiya olunmamış hücumçu CXF-RS və ya CXF-SOAP son nöqtələrinə HTTP sorğuları göndərərək Camel daxili başlıqlarını (məsələn, CamelExecCommandExecutable, CamelFileName) inyeksiya edə bilər. Marşrut bu son nöqtələrdən mesajları camel-exec və ya camel-file kimi başlıqlarla idarə olunan komponentlərə yönləndirdikdə, inyeksiya edilmiş başlıqlar konfiqurasiya edilmiş dəyərləri əvəz edərək uzaqdan kodun icrasına və ya ixtiyari faylların yazılmasına şərait yaradır. Bu, daha əvvəl camel-undertow (CVE-2025-30177), genişmiqyaslı giriş başlığı filtri (CVE-2025-27636 və CVE-2025-29891) və qeyri-HTTP strategiyalarında (CVE-2026-40453) rast gəlinmiş eyni modeldir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 3.18.0-dan 4.14.6-ya qədər, 4.15.0-dan 4.18.2-yə qədər. İstifadəçilərə problemi aradan qaldıran 4.19.0 versiyasına yeniləmək tövsiyə olunur. Əgər istifadəçilər 4.18.x LTS buraxılış axınındadırlarsa, 4.18.2 versiyasına, 4.14.x LTS buraxılış axınındadırlarsa, 4.14.6 versiyasına yeniləmələri məsləhət görülür.