CVE-2026-63621

Apache Camel Knative bileşeninde Hatalı Girdi Doğrulaması ve Alt Bileşen Tarafından Kullanılan Çıktıda Özel Öğelerin Hatalı Nötralizasyonu ('Enjeksiyon') zafiyeti bulunmaktadır. camel-knative içerisindeki Knative tüketicisi, gelen CloudEvent özniteliklerini Camel mesaj başlıklarına eşler. İkili içerik modunda (binary content mode), HTTP-başlık yolu Camel dahili başlıklarını KnativeHttpHeaderFilterStrategy aracılığıyla filtreler; ancak yapılandırılmış içerik modunda (Content-Type application/cloudevents+json), CloudEvent genişletme alanları doğrudan JSON gövdesinden okunur ve herhangi bir HeaderFilterStrategy uygulanmadan her genişletme anahtarı Exchange başlıklarına kopyalanır (CloudEventProcessors, spesifikasyon versiyonları 1.0, 1.0.1 ve 1.0.2). Sonuç olarak, kimliği doğrulanmamış bir saldırgan, yapılandırılmış moddaki bir CloudEvent isteği üzerinden, Camel'ın başlık haritasıyla büyük/küçük harf duyarsız şekilde eşleşen Camel dahili başlıklarını (örneğin CamelHttpUri, CamelHttpPath, CamelFileName) enjekte edebilir. Bir rota, mesajları Knative tüketicisinden camel-http veya camel-file gibi başlık tabanlı bir bileşene ilettiğinde, enjekte edilen başlıklar yapılandırılmış değerlerin üzerine yazar ve rotaya bağlı olarak sunucu taraflı istek sahteciliği (SSRF), dizin gezginliği (path traversal) veya mesaj yönlendirme işlemini mümkün kılar. Bu durum, daha önce ikili içerik modu yolu için eklenen gelen başlık filtrelemesinin eksik bir düzeltmesidir ve camel-cxf/camel-knative (CVE-2026-47323), camel-undertow (CVE-2025-30177), daha kapsamlı olan incoming-header filtresi (CVE-2025-27636 ve CVE-2025-29891) ve HTTP dışı stratejilerde (CVE-2026-40453) ele alınan sorunla aynı kalıptadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.15.0'dan 4.14.9 öncesine kadar, 4.15.0'dan 4.18.4 öncesine kadar, 4.19.0'dan 4.21.0 öncesine kadar. Kullanıcıların sorunu gideren 4.22.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.18.x LTS yayın akışındaysa, 4.18.4 sürümüne yükseltmeleri tavsiye edilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa, 4.14.9 sürümüne yükseltmeleri tavsiye edilir. LTS olmayan 4.15.0 ile 4.17.0 arası ve 4.19.0 ile 4.21.0 arası sürümler etkilenmiştir ancak bakım düzeltmesi almayacaktır; bu sürümleri kullanan kullanıcılar 4.18.4 veya 4.22.0 sürümüne yükseltmelidir.