CVE-2026-40453

CVE-2025-27636 için getirilen düzeltme, 'CAmelExecCommandExecutable' gibi büyük-küçük harf farklılıkları içeren başlık isimlerinin 'CamelExecCommandExecutable' ile birlikte filtrelenmesi için HttpHeaderFilterStrategy bileşenine setLowerCase(true) eklemiştir. Aynı setLowerCase(true) çağrısı; camel-jms içindeki JmsHeaderFilterStrategy ve ClassicJmsHeaderFilterStrategy, camel-sjms içindeki SjmsHeaderFilterStrategy, camel-coap içindeki CoAPHeaderFilterStrategy ve camel-google-pubsub içindeki GooglePubsubHeaderFilterStrategy olmak üzere beş HTTP dışı HeaderFilterStrategy uygulamasına uygulanmamıştır. Bu stratejiler büyük-küçük harfe duyarlı String.startsWith('Camel'/'camel') filtrelemesi kullanırken Camel Exchange başlıklarını büyük-küçük harfe duyarsız bir eşlemde (map) sakladığından, bir Camel rotası tarafından tüketilen aracıya (broker) JMS (veya eşdeğeri) üretici erişimi olan bir saldırgan, büyük-küçük harf varyasyonlu Camel dahili başlıkları enjekte edebilir; bu başlıklar daha sonra camel-exec ve camel-file gibi alt bileşenler tarafından standart yazımları kullanılarak çözümlenir. Bu durum, JMS mesajlarını başlık tabanlı bileşenlere yönlendiren rotalarda uzaktan kod çalıştırma ve rastgele dosya yazılmasına olanak tanır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.0.0'dan 4.14.6 öncesine kadar, 4.15.0'dan 4.18.2 öncesine kadar, 4.19.0'dan 4.20.0 öncesine kadar. Kullanıcıların sorunu gideren 4.20.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa 4.14.6 sürümüne, 4.18.x yayın akışındaysa 4.18.2 sürümüne yükseltmeleri önerilmektedir.