CVE-2026-78164
Neutralización inadecuada de elementos especiales utilizados en un motor de plantillas y exposición de información sensible a un actor no autorizado en los componentes Apache Camel HTTP, Netty HTTP, Undertow y Vert.x HTTP.
Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
Las familias de productores Camel HTTP permiten que un mensaje entrante sobrescriba el URI del endpoint mediante las cabeceras CamelHttpUri y CamelRestHttpUri, y después pasan esa cadena suministrada por el mensaje a través de CamelContext.resolvePropertyPlaceholders() antes de utilizarla.
Leer descripción completaMostrar menos
La resolución de marcadores de posición de propiedades es una facilidad de resolución de configuración, no un paso de análisis de URI: alcanza las variables de entorno del sistema operativo, las propiedades del sistema de la JVM, todas las PropertiesFunction registradas en el classpath (incluidas las funciones de secretos) y, a través de camel-bean, la invocación de un método sin argumentos de cualquier bean del registro. Aplicarla al contenido de Exchange convirtió, por tanto, una cadena URI en un contexto de evaluación de configuración y de beans. El autor de la ruta no optaba por nada de esto: bastaba con un to("http://backend/api") estático y simple. Se veían afectados siete puntos de llamada: HttpHelper.createURL y HttpHelper.createMethod en camel-http-common, HttpMethodHelper.createMethod en camel-http, VertxHttpHelper.resolveHttpURI en camel-vertx-http, UndertowHelper.createURL y UndertowHelper.createMethod en camel-undertow, y NettyHttpHelper.createURL en camel-netty-http. La opción bridgeEndpoint no limitaba la exposición: suprime la sobrescritura de CamelHttpUri en la familia createURL, pero no en la familia createMethod, de modo que una ruta que usara la configuración de puenteo documentada seguía resolviendo marcadores de posición tomados de la cabecera, y CamelRestHttpUri se consumía antes de cualquier comprobación de bridgeEndpoint en los cuatro componentes. Solo camel-http ofrecía una opción de exclusión, skipControlHeaders, que por defecto es false. Alcanzar las cabeceras no siempre requería inyección de cabeceras, ya que varios consumidores HTTP de Camel rellenan por sí mismos CamelHttpUri a partir de la línea de solicitud como función documentada de proxy inverso. Además, un marcador de posición no resoluble producía una RuntimeExchangeException cuyo mensaje repetía el URI, lo que permitía distinguir una clave de configuración definida de una no definida incluso cuando no se realizaba ninguna solicitud saliente. El comportamiento es anterior a la serie 4.x. Este aviso da continuidad a la alineación que CAMEL-24282 aplicó a los EIP de URI dinámico toD y enrich en la 4.22.0, extendiendo el mismo contrato de resolución en tiempo de construcción a los componentes productores HTTP.
Los usuarios deben actualizar a la versión 4.23.0, que corrige el problema. Los usuarios de la serie 4.22.x deben actualizar a la 4.22.1. Los usuarios de la serie 4.18.x deben actualizar a la 4.18.5. La serie 4.14.x y las anteriores alcanzaron el fin de su vida útil antes de que este problema se resolviera y no recibirán corrección, por lo que las implantaciones en esas versiones deben migrar a una versión soportada. Para las implantaciones que no puedan actualizar de inmediato, elimine las cabeceras de sobrescritura en la frontera de confianza antes del productor con removeHeader("CamelHttpUri") y removeHeader("CamelRestHttpUri"), o bien establezca skipControlHeaders=true en los endpoints de camel-http, que es el único componente que ofrece esa opción. Tenga en cuenta que bridgeEndpoint=true no es una medida alternativa: suprime la sobrescritura de la cabecera cuando se construye la URL saliente, pero no cuando la cabecera se vuelve a analizar para obtener la cadena de consulta. Tampoco la codificación porcentual de los delimitadores de los marcadores de posición es una mitigación para camel-netty-http, ya que su enlace decodifica la ruta de la solicitud antes de que el valor llegue a la cabecera, por lo que las reglas de proxy o WAF escritas sobre los delimitadores sin procesar no sirven en ese caso. Como defensa en profundidad, asegúrese de que los consumidores expuestos a remitentes no confiables apliquen una HeaderFilterStrategy de entrada estricta sobre el espacio de nombres de Camel, y resuelva los secretos mediante un almacén de secretos (vault) en lugar de hacerlo mediante variables de entorno o propiedades del sistema que un marcador de posición pueda nombrar.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 8.2
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.45 %
- Percentil entre todas las CVEs puntuadas
- 38
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access95 % - Impacto principal
T1005Data from Local Systemcollection75 % - Impacto secundario
T1059Command and Scripting Interpreterexecution30 % - Impacto secundario
T1552Unsecured Credentialscredential access70 %
CVSS AV:N/PR:N/UI:N y C:H; el texto indica que una cabecera CamelHttpUri lleva a resolver placeholders que leen variables de entorno, propiedades JVM y secretos de proveedores cloud.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (5)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-200, CWE-1336
Referencias
Mostrar las 6 referencias
- https://camel.apache.org/security/CVE-2026-78164.html
- https://github.com/apache/camel/commit/7cec534c66969015d85e56631143174dd150ed94
- https://github.com/apache/camel/commit/9f8a185e315ce9e120889c4106be3dbf4688e507
- https://github.com/apache/camel/commit/ba5aced7f6a1c38a963020575676ad4c76b492cf
- https://github.com/apache/camel/pull/25571
- https://issues.apache.org/jira/browse/CAMEL-24418
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-78164",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-78164",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T18:45:34.527963Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 8.2,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N",
"integrityImpact": "LOW",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 4.2,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-http",
"packageName": "org.apache.camel:camel-http",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
},
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.15.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "semver"
}
],
"packageName": "org.apache.camel:camel-http-common",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
},
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.15.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "semver"
}
],
"packageName": "org.apache.camel:camel-vertx-http",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
},
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.15.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "semver"
}
],
"packageName": "org.apache.camel:camel-undertow",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
},
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.15.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "semver"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "semver"
}
],
"packageName": "org.apache.camel:camel-netty-http",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:19.403",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-78164.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/commit/7cec534c66969015d85e56631143174dd150ed94",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/commit/9f8a185e315ce9e120889c4106be3dbf4688e507",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/commit/ba5aced7f6a1c38a963020575676ad4c76b492cf",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25571",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24418",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-200"
},
{
"lang": "en",
"value": "CWE-1336"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Improper Neutralization of Special Elements Used in a Template Engine and Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache Camel HTTP, Netty HTTP, Undertow and Vert.x HTTP components.\n\n\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\n\n\nThe Camel HTTP producer families let an inbound message override the endpoint URI through the CamelHttpUri and CamelRestHttpUri headers, and then passed that message-supplied string through CamelContext.resolvePropertyPlaceholders() before using it. Property-placeholder resolution is a configuration-resolution facility, not a URI-parsing step: it reaches operating-system environment variables, JVM system properties, every PropertiesFunction registered on the classpath - including the secret functions - and, through camel-bean, the invocation of a no-argument method on any bean in the registry. Applying it to Exchange content therefore turned a URI string into a configuration- and bean-evaluation context. A route author opted into none of this: a plain static to(\"http://backend/api\") was sufficient. Seven call sites were affected: HttpHelper.createURL and HttpHelper.createMethod in camel-http-common, HttpMethodHelper.createMethod in camel-http, VertxHttpHelper.resolveHttpURI in camel-vertx-http, UndertowHelper.createURL and UndertowHelper.createMethod in camel-undertow, and NettyHttpHelper.createURL in camel-netty-http. The bridgeEndpoint option did not bound the exposure: it suppresses the CamelHttpUri override in the createURL family but not in the createMethod family, so a route using the documented bridging configuration still resolved placeholders taken from the header, and CamelRestHttpUri was consumed before any bridgeEndpoint check in all four components. Only camel-http offered an opt-out, skipControlHeaders, which defaults to false. Reaching the headers did not always require header injection, because several Camel HTTP consumers populate CamelHttpUri from the request line themselves as a documented reverse-proxy feature. An unresolvable placeholder additionally produced a RuntimeExchangeException whose message echoed the URI, which distinguishes a set from an unset configuration key even where no outbound request is made. The behaviour predates the 4.x line. This advisory continues the alignment CAMEL-24282 applied to the toD and enrich dynamic-URI EIPs in 4.22.0, extending the same build-time-resolution contract to the HTTP producer components.\n\n\n\nUsers should upgrade to version 4.23.0, which fixes the issue. Users on the 4.22.x releases stream should upgrade to 4.22.1. Users on the 4.18.x releases stream should upgrade to 4.18.5. The 4.14.x releases stream and earlier reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release. For deployments that cannot upgrade immediately, strip the override headers at the trust boundary before the producer with removeHeader(\"CamelHttpUri\") and removeHeader(\"CamelRestHttpUri\"), or set skipControlHeaders=true on camel-http endpoints, which is the only component offering that option. Note that bridgeEndpoint=true is not a workaround: it suppresses the header override when the outbound URL is built but not when the header is re-parsed for the query string. Percent-encoding the placeholder delimiters is likewise not a mitigation for camel-netty-http, whose binding decodes the request path before the value reaches the header, so proxy or WAF rules written against the raw delimiters do not help there. As defence in depth, ensure consumers exposed to untrusted senders apply a strict inbound HeaderFilterStrategy over the Camel namespace, and resolve secrets through a vault rather than through environment variables or system properties that a placeholder can name."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}