CVE-2026-49086

Apache Camel DAPR komponentində düzgün olmayan giriş validasiyası, nəzərdə tutulmayan proksi və ya vasitəçi ('Confused Deputy') zəifliyi. camel-dapr Dapr Pub/Sub istehlakçısı (DaprPubSubConsumer) hər daxil olan CloudEvent-dən iki sahəni - onun Pub/Sub komponent adını və mövzusunu - CamelDaprPubSubName və CamelDaprTopic Exchange başlıqlarına köçürürdü. Bu iki başlıq istehsalçı istiqamətli marşrutlaşdırma başlıqlarıdır: marşrut Dapr istehsalçısı vasitəsilə yenidən nəşr etdikdə, DaprConfigurationOptionsProxy onları geri oxuyur və endpoint-də konfiqurasiya edilmiş təyinatdan üstün tutur. Nəticədə, bir Dapr Pub/Sub mövzusundan istehlak edib digərinə yenidən nəşr edən marşrutda (məsələn from('dapr-pubsub:p:t').to('dapr-pubsub:p:other')), abunə olunmuş mövzuya mesaj nəşr edə bilən aktyor CloudEvent-in pub/sub-name və topic sahələrini öz seçdiyi dəyərlərə qoya və yenidən nəşr olunan mesajın konfiqurasiya edilmiş təyinat əvəzinə ixtiyari Dapr Pub/Sub komponentinə və mövzusuna çatdırılmasına səbəb ola bilərdi - bununla da mesajı yönləndirir və ya ekzfiltrasiya edir, marşrutun nəzərdə tutulan marşrutlaşdırmasını və əsas brokerdəki hər hansı mövzu səviyyəli giriş nəzarətlərini yan keçir. İstismar marşrutun abunə olduğu mövzuya nəşr etmək imkanı tələb edir; başqa autentifikasiya və ya istifadəçi qarşılıqlı əlaqəsi tələb olunmur. Bu problem Apache Camel-ə təsir edir: 4.12.0-dan 4.14.8-dən əvvələ qədər, 4.15.0-dan 4.18.3-dən əvvələ qədər, 4.19.0-dan 4.21.0-dan əvvələ qədər. İstifadəçilərə problemi aradan qaldıran 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, 4.14.8-ə yüksəltmələri təklif olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, 4.18.3-ə yüksəltmələri təklif olunur. Dərhal yüksəltmə imkanı olmayan yerləşdirmələr üçün Dapr istehlakçısı ilə marşrutdakı hər hansı Dapr istehsalçısı arasında Exchange-dən CamelDaprPubSubName və CamelDaprTopic başlıqlarını silin (məsələn removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic')) və abunə olunmuş Dapr Pub/Sub mövzusuna kimin nəşr edə biləcəyini məhdudlaşdırın ki, ona yalnız etibarlı istehsalçılar göndərə bilsin.