CVE-2026-48203

Apache Camel Solr komponentində Aşağı Axın Komponenti Tərəfindən İstifadə Edilən Çıxışda Xüsusi Elementlərin Düzgün Neytrallaşdırılmaması ('İnyeksiya'), Girişin Düzgün Validasiya Edilməməsi, Server Tərəfindən Sorğu Saxtalaşdırması (SSRF) zəifliyi. camel-solr produceri adları SolrParam. prefiksi ilə başlayan Exchange mesaj başlıqlarını Solr sorğusunun parametrlərinə, adları SolrField. prefiksi ilə başlayan başlıqları isə indekslənən Solr sənədinin sahələrinə köçürür. Prefiks sabitləri (SolrConstants.HEADER_PARAM_PREFIX / HEADER_FIELD_PREFIX) sadə SolrParam. / SolrField. sətirləri idi. Bu adlar Camel / camel prefiksi ilə başlamadığı üçün HTTP sərhədində yalnız Camel başlıq məkanını bloklayan HttpHeaderFilterStrategy onların daxil olan HTTP sorğusundan birbaşa Exchange-ə keçməsinə icazə verirdi. HTTP consumeri (məsələn, platform-http) solr: producerə birləşdirən marşrutda buna görə istənilən HTTP klienti SolrParam.* başlıqlarını təyin edərək ixtiyari Solr sorğu parametrlərini inyeksiya edə bilərdi - o cümlədən Solr serverinin hücumçunun seçdiyi URL-ə server tərəfindən sorğular göndərməsinə səbəb olan shards və ya stream.url (server tərəfindən sorğu saxtalaşdırması, məsələn, daxili xidmətə və ya bulud metadata endpointinə) və ya inzibati sorğu handlerlərinə çatmaq üçün qt - və SolrField.* başlıqlarını təyin edərək indekslənən sənədlərə ixtiyari sahələr inyeksiya edə bilərdi. Birləşdirici consumer autentifikasiya olunmadıqda heç bir etimadnamə tələb olunmur. Bu problem Apache Camel-ə təsir edir: 4.0.0-dan 4.14.8-dən əvvələ qədər, 4.15.0-dan 4.18.3-dən əvvələ qədər, 4.19.0-dan 4.21.0-dan əvvələ qədər. İstifadəçilərə problemi aradan qaldıran 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, onda 4.14.8-ə yüksəltmələri təklif olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, onda 4.18.3-ə yüksəltmələri təklif olunur. Yüksəltmədən sonra Solr parametrlərini və ya sahələrini xam başlıq prefiksləri vasitəsilə təyin edən marşrutlar SolrParam. / SolrField. əvəzinə CamelSolrParam. / CamelSolrField. istifadə etməlidir. Dərhal yüksəltmək mümkün olmayan yerləşdirmələr üçün solr: producerdən əvvəl istənilən etibarsız girişdən SolrParam.* və SolrField.* başlıqlarını çıxarın və tələb olunan Solr parametrlərini və sahələrini marşrutda etibarlı mənbədən təyin edin.