CVE-2026-33454
Açıklama
Camel-Mail bileşeni, Camel mesaj başlığı enjeksiyonuna karşı savunmasızdır. Bileşen tarafından kullanılan özel başlık filtreleme stratejisi (MailHeaderFilterStrategy), yalnızca setOutFilterStartsWith aracılığıyla 'out' yönünü filtrelerken, setInFilterStartsWith aracılığıyla 'in' yönünü yapılandırmamaktadır. Sonuç olarak, bir Camel uygulaması camel-mail üzerinden e-posta tükettiğinde (örneğin from("imap://...") veya from("pop3://...") aracılığıyla), gelen filtre kontrolü atlanır ve Camel ön ekli MIME başlıkları filtrelenmeden Exchange içerisine eşlenir. Bu tür bir tüketici tarafından izlenen bir posta kutusuna e-posta gönderebilen bir saldırgan, e-posta tüketicisinin alt akışındaki bazı Camel bileşenleri (camel-bean, camel-exec veya camel-sql gibi) için rotanın davranışını değiştirebilecek Camel'a özgü başlıklar enjekte edebilir. Bu durum, daha önce camel-undertow (CVE-2025-30177) ve daha geniş kapsamlı incoming-header filtresinde (CVE-2025-27636 ve CVE-2025-29891) ele alınan desenle aynıdır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.0.0 ile 4.14.6 arası ve 4.15.0 ile 4.18.1 arası. Kullanıcıların sorunu gideren 4.19.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.18.x LTS yayın akışındaysa, 4.18.1 sürümüne; 4.14.x LTS yayın akışındaysa, 4.14.6 sürümüne yükseltmeleri önerilmektedir.
Nasıl düzeltilir
- apache camel4.14.6, 4.18.1 ya da sonraki bir sürüm
- org.apache.camel:camel-mail4.14.6, 4.18.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache camel | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.1 | 4.14.6, 4.18.1 |
| org.apache.camel:camel-mailMaven | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.1 | 4.14.6, 4.18.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.