CVE-2026-84176

Apache Camel Platform HTTP Vertx komponentində etibarsız domenlərlə bağlı Permissive Cross-domain Policy zəifliyi aşkar edilmişdir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər olan versiyalar. createCorsHandler() funksiyası Access-Control-Allow-Credentials: true parametrini mənşə (origin) yoxlamasından kənarda təyin edirdi, buna görə də Origin başlığı olan hər bir sorğuya cavab olaraq bu başlıq göndərilirdi, hətta handler tərəfindən icazə verilməmiş mənşələrə də daxil idi. camel.server.cors.origins təyin edilmədikdə, handler hər bir mənşəni icazəli hesab edir və çağıranın öz Origin məlumatını Access-Control-Allow-Origin kimi geri qaytarır. Bunlar birlikdə, fetch spesifikasiyasının literal wildcard kimi ifadə etməkdən imtina etdiyi "credentialed any-origin" konfiqurasiyasını yaradır ki, mənşənin əks olunması (reflecting) məhz bu qaydanı keçmək üçün istifadə olunan adi üsuldur. Buna görə də, istənilən mənşədəki səhifə Camel son nöqtəsinə (endpoint) kimlik məlumatları ilə (credentialed) cross-origin sorğuları göndərə və cavabları oxuya bilərdi. Problemi aradan qaldırmaq üçün Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edənlər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edənlər isə 4.22.1 versiyasına yeniləməlidir. Artıq Access-Control-Allow-Credentials yalnız sorğu mənşəyi operator tərəfindən konfiqurasiya edilmiş mənşə ilə uyğunlaşdıqda göndərilir. Mənşə siyahısı olmadıqda, mənşə əvvəlki kimi əks olunmağa davam edir, lakin kimlik məlumatlarına (credentials) icazə verilmir və ortaq keşin bir mənşənin cavabını digərinə təqdim etməməsi üçün mənşə əks olunduqda Vary: Origin təyin edilir. Təcili yenilənmə imkanı olmayan sistemlər üçün camel.server.cors.origins parametrini boş buraxmaq əvəzinə, girişə ehtiyacı olan mənşələrin dəqiq siyahısını təyin edin.