CVE-2026-48206

Apache Camel JIRA komponentində düzgün olmayan giriş validasiyası, istifadəçi tərəfindən idarə olunan açar vasitəsilə avtorizasiyadan yan keçmə zəifliyi. camel-jira producer-ləri öz əməliyyat parametrlərini - issue açarı, layihə açarı, keçid id-i, xülasə, tip, təyin olunan şəxs, komponentlər, izləyicilər, link tipi, iş qeydi dəqiqələri və digərlərini - Exchange mesaj başlıqlarından oxuyur. JiraConstants-da müəyyən edilmiş başlıq sabitləri (məsələn ISSUE_KEY = IssueKey, ISSUE_PROJECT_KEY = ProjectKey, ISSUE_TRANSITION_ID = IssueTransitionId, LINK_TYPE = linkType) Camel prefiksi olmayan sadə dəyərlərdən istifadə edirdi. Bu adlar Camel / camel prefiksi ilə başlamadığı üçün, HTTP sərhədində yalnız Camel başlıq məkanını bloklayan HttpHeaderFilterStrategy onların daxil olan HTTP sorğusundan birbaşa Exchange-ə keçməsinə icazə verirdi. HTTP consumer-i (məsələn platform-http) jira: producer-ə birləşdirən marşrutda buna görə istənilən HTTP klienti bu başlıqları təqdim edərək marşrutun nəzərdə tutduğu dəyərləri üstələyə bilər və konfiqurasiya edilmiş JIRA instansiyasına qarşı JIRA əməliyyatlarını endpoint-in konfiqurasiya edilmiş xidmət hesabı etimadnamələri ilə icra edə bilərdi - məsələn, ixtiyari issue-nu silmək və ya keçid etmək (IssueKey / IssueTransitionId vasitəsilə), fərqli layihədə issue yaratmaq (ProjectKey vasitəsilə), issue sahələrini dəyişdirmək, izləyicilər əlavə etmək və ya silmək, yaxud iş qeyd etmək. Əməliyyatlar konfiqurasiya edilmiş xidmət hesabına icazə verilənlərlə məhdudlaşır. Birləşdirici consumer autentifikasiyasız olduqda hücumçudan heç bir etimadnamə tələb olunmur. Bu problem Apache Camel-ə təsir edir: 4.0.0-dan 4.14.8-dən əvvələ qədər, 4.15.0-dan 4.18.3-dən əvvələ qədər, 4.19.0-dan 4.21.0-dan əvvələ qədər. İstifadəçilərə problemi aradan qaldıran 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, 4.14.8-ə yüksəltmələri təklif olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, 4.18.3-ə yüksəltmələri təklif olunur. Yüksəltmədən sonra JIRA əməliyyatlarını xam başlıq adları vasitəsilə idarə edən marşrutlar köhnə dəyərlər əvəzinə CamelJira* adlarından (məsələn CamelJiraIssueKey) istifadə etməlidir. Dərhal yüksəltmə imkanı olmayan yerləşdirmələr üçün jira: producer-dən əvvəl istənilən etibarsız girişdən camel-jira idarəetmə başlıqlarını çıxarın (məsələn marşrutun əvvəlində IssueKey, ProjectKey, IssueTransitionId və əlaqəli başlıqları silin) və tələb olunan JIRA əməliyyat parametrlərini etibarlı mənbədən təyin edin.