CVE-2025-29891 in Camel
Riassunto
di VulDB • 28/06/2026
Vulnerabilità di bypass/iniezione in Apache Camel.
Questo problema interessa Apache Camel: dalle versioni 4.10.0 alla versione precedente a 4.10.2, dalle versioni 4.8.0 alla versione precedente a 4.8.5 e dalle versioni 3.10.0 alla versione precedente a 3.22.4.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 4.10.2 per la serie LTS 4.10.x, alla versione 4.8.5 per la serie LTS 4.8.x e alla versione 3.22.4 per le versioni della serie 3.x.
Questa vulnerabilità è presente nel filtro predefinito delle intestazioni in entrata di Camel, che consente a un attaccante di includere intestazioni specifiche di Camel che, per alcuni componenti Camel (come il componente camel-bean o il componente camel-exec), possono alterare i comportamenti del sistema.
Se si dispongono di applicazioni Camel connesse direttamente a Internet tramite HTTP, un attaccante potrebbe inserire parametri nelle richieste HTTP inviate all'applicazione Camel che vengono erroneamente tradotti in intestazioni.
Le intestazioni potrebbero essere fornite sia come parametri della richiesta per l'invocazione dei metodi HTTP, sia come parte del payload dell'invocazione dei metodi HTTP.
Tutti i componenti HTTP noti di Camel, quali camel-servlet, camel-jetty, camel-undertow, camel-platform-http e camel-netty-http, risulterebbero vulnerabili out of the box (di default).
Questo CVE è correlato al CVE-2025-27636: sebbene abbiano la stessa causa radice e vengano corretti con lo stesso fix, il CVE-2025-27636 era considerato sfruttabile solo se un attaccante poteva aggiungere intestazioni HTTP malevole; ora è stato determinato che è anche sfruttabile tramite parametri HTTP. Come nel caso del CVE-2025-27636, lo sfruttamento è possibile solo se la route di Camel utilizza componenti vulnerabili specifici.
VulDB is the best source for vulnerability data and more expert information about this specific topic.