CVE-2026-47323

Eksik Gelen Filtreleme Nedeniyle Camel-CXF ve Camel-Knative Mesaj Başlığı Enjeksiyonu CXF ve Knative HeaderFilterStrategy uygulamaları (camel-cxf-rest içinde CxfRsHeaderFilterStrategy, camel-cxf-transport içinde CxfHeaderFilterStrategy ve camel-knative-http içinde KnativeHttpHeaderFilterStrategy), yalnızca setOutFilterStartsWith aracılığıyla giden Camel-dahili başlıklarını filtrelemekte, ancak setInFilterStartsWith aracılığıyla gelen filtrelemeyi yapılandırmamaktadır. Sonuç olarak, kimliği doğrulanmamış bir saldırgan, CXF-RS veya CXF-SOAP uç noktalarına yapılan HTTP istekleri üzerinden Camel-dahili başlıkları (örneğin CamelExecCommandExecutable, CamelFileName) enjekte edebilir. Bir rota, bu uç noktalardan gelen mesajları camel-exec veya camel-file gibi başlık tabanlı bileşenlere ilettiğinde, enjekte edilen başlıklar yapılandırılmış değerlerin üzerine yazarak uzaktan kod çalıştırmaya veya rastgele dosya yazmaya olanak tanır. Bu durum; daha önce camel-undertow (CVE-2025-30177), daha kapsamlı gelen-başlık filtresi (CVE-2025-27636 ve CVE-2025-29891) ve HTTP dışı stratejilerde (CVE-2026-40453) ele alınan desenle aynıdır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.18.0'dan 4.14.6 öncesine kadar ve 4.15.0'dan 4.18.2 öncesine kadar. Kullanıcıların sorunu gideren 4.19.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.18.x LTS yayın akışındaysa 4.18.2 sürümüne, 4.14.x LTS yayın akışındaysa 4.14.6 sürümüne yükseltmeleri önerilmektedir.