CVE-2026-84176

Published: Ott 19, 2026 Last Modified: Ott 19, 2026

ExploitDB:

Other exploit source:

Google Dorks:

MEDIUM 6,5

Source: [email protected]

Attack Vector: network

Attack Complexity: low

Privileges Required: none

User Interaction: required

Scope: unchanged

Confidentiality: high

Integrity: none

Availability: none

Description

AI Translation Available

Permissive Cross-domain Policy with Untrusted Domains vulnerability in Apache Camel Platform HTTP Vertx component.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.

createCorsHandler() set Access-Control-Allow-Credentials: true outside the origin check, so the header went out on every response to a request carrying an Origin header, including responses to origins the handler had just decided not to allow. When camel.server.cors.origins is unset, the handler treats every origin as allowed and echoes the caller's own Origin back as Access-Control-Allow-Origin. Together those produce the credentialed any-origin configuration that the fetch specification refuses to express as a literal wildcard, which is precisely why reflecting the origin is the usual way around that rule. A page on any origin could therefore make credentialed cross-origin requests to the Camel endpoint and read the responses.

Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. Access-Control-Allow-Credentials is now sent only when the request origin matched an origin the operator actually configured. With no origin list the origin is still reflected, as before, but credentials are not granted, and Vary: Origin is now set whenever the origin is reflected so that a shared cache cannot serve one origin's response to another. For deployments that cannot upgrade immediately, set camel.server.cors.origins to the explicit list of origins that need access rather than leaving it unset.

AI Generated Translation

Vulnerabilità Permissive Cross-domain Policy con domini non affidabili nel componente HTTP Vertx della piattaforma Apache Camel.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

createCorsHandler() imposta Access-Control-Allow-Credentials: true al di fuori del controllo dell'origine, quindi l'intestazione veniva inviata in ogni risposta a una richiesta contenente un'intestazione Origin, comprese le risposte a origini che l'handler aveva appena deciso di non consentire. Quando il parametro camel.server.cors.origins non è impostato, l'handler tratta ogni origine come consentita e riflette l'Origin del chiamante come Access-Control-Allow-Origin. Insieme, ciò produce la configurazione credentialed any-origin che la specifica fetch rifiuta di esprimere come un wildcard letterale, motivo per cui riflettere l'origine è il modo usuale per aggirare questa regola. Una pagina su qualsiasi origine potrebbe quindi effettuare richieste cross-origin con credenziali all'endpoint Camel e leggere le risposte.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x dovrebbero aggiornare a 4.18.5. Gli utenti delle versioni LTS 4.22.x dovrebbero aggiornare a 4.22.1. Access-Control-Allow-Credentials viene ora inviato solo quando l'origine della richiesta corrisponde a un'origine effettivamente configurata dall'operatore. Se non è presente una lista di origini, l'origine viene comunque riflessa, come prima, ma le credenziali non vengono concesse, e Vary: Origin viene ora impostato ogni volta che l'origine viene riflessa, affinché una cache condivisa non possa servire la risposta di un'origine a un'altra. Per le implementazioni che non possono aggiornarsi immediatamente, impostare camel.server.cors.origins con l'elenco esplicito delle origini che necessitano di accesso, anziché lasciarlo non impostato.