CVE-2026-49086

Apache Camel DAPR bileşeninde Hatalı Girdi Doğrulaması, İstenmeyen Vekil veya Aracı ('Confused Deputy') zafiyeti bulunmaktadır. camel-dapr Dapr Pub/Sub tüketicisi (DaprPubSubConsumer), gelen her CloudEvent'ten iki alanı -Pub/Sub bileşen adını ve konusunu- CamelDaprPubSubName ve CamelDaprTopic Exchange başlıklarına kopyalamaktaydı. Bu iki başlık, üretici yönlü yönlendirme başlıklarıdır: rota bir Dapr üreticisi aracılığıyla yeniden yayınladığında, DaprConfigurationOptionsProxy bunları geri okur ve uç noktada yapılandırılan hedefe tercih eder. Sonuç olarak, bir Dapr Pub/Sub konusundan tüketip diğerine yeniden yayınlayan bir rotada (örneğin from('dapr-pubsub:p:t').to('dapr-pubsub:p:other')), abone olunan konuya mesaj gönderebilen bir aktör, CloudEvent'in pub/sub-name ve topic değerlerini kendi seçtiği değerlerle ayarlayabilir ve yeniden yayınlanan mesajın yapılandırılmış hedef yerine rastgele bir Dapr Pub/Sub bileşenine ve konusuna iletilmesine neden olabilir; bu durum mesajın yönlendirilmesine veya sızdırılmasına yol açarak rotanın amaçlanan yönlendirmesini ve alttaki aracıdaki konu düzeyindeki tüm erişim kontrollerini atlatır. İstismar için rotanın abone olduğu konuya yayın yapabilme yeteneği gereklidir; başka herhangi bir kimlik doğrulama veya kullanıcı etkileşimi gerekmez. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.12.0'dan 4.14.8 öncesine kadar, 4.15.0'dan 4.18.3 öncesine kadar, 4.19.0'dan 4.21.0 öncesine kadar. Kullanıcıların sorunu gideren 4.21.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS sürüm akışındaysa, 4.14.8 sürümüne yükseltmeleri önerilir. Kullanıcılar 4.18.x sürüm akışındaysa, 4.18.3 sürümüne yükseltmeleri önerilir. Hemen yükseltme yapamayan dağıtımlar için, rotadaki Dapr tüketicisi ile herhangi bir Dapr üreticisi arasındaki Exchange üzerinden CamelDaprPubSubName ve CamelDaprTopic başlıklarını kaldırın (örneğin removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic')) ve yalnızca güvenilen üreticilerin gönderim yapabilmesi için abone olunan Dapr Pub/Sub konusuna kimlerin yayın yapabileceğini kısıtlayın.