CVE-2026-85313
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Permisywna polityka międzydomenowa z luką w zabezpieczeniach niezaufanych domen w komponencie Apache Camel Jetty.
Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.
Ustawienie EnableCORS na punkcie końcowym Jetty spowodowało zainstalowanie CrossOriginFilter Jetty z jego podstawowymi ustawieniami domyślnymi, które akceptują każde pochodzenie i zezwalają na poświadczenia. Operator proszący o CORS uzyskał zatem politykę, która pozwala stronie dowolnego źródła wysyłać uwierzytelnione żądania między źródłami do punktu końcowego i czytać odpowiedzi, bez żadnej wskazówki, że włączenie tej opcji spowodowało wybranie polityki zezwalającej na wszystko, a nie pustej do wypełnienia. Jest to ta sama klasa defektów, co opublikowany obok niej poradnik platform-http-vertx, w innym komponencie.
Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. EnableCORS nie przyznaje już poświadczeń pochodzeniu, którego operator nie podał. Wdrożenie, które opierało się na zaakceptowaniu dowolnego źródła, musi teraz wyraźnie podawać swoje źródła. W przypadku wdrożeń, których nie można uaktualnić natychmiast, skonfiguruj parametry CrossOriginFilter jawnie, zamiast polegać na tym, co instaluje EnableCORS, podając nazwy dozwolonych źródeł.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org