CVE-2026-85251
Exposición de información sensible a un actor no autorizado en el componente HTTP de Apache Camel.
Esta incidencia afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
Dos rutas entregaban credenciales a un destino de redirección, que es un host elegido por el servidor remoto y no por la ruta, cuando followRedirects=true.
Leer descripción completaMostrar menos
OAuth2ClientConfigurer registra su interceptor con addRequestInterceptorFirst, y HttpClient ejecuta los interceptores de solicitud de nivel de protocolo dentro de ProtocolExec, que se sitúa por debajo de RedirectExec en la cadena de ejecución; por ello, el interceptor se ejecutaba de nuevo en cada salto de redirección y volvía a adjuntar Authorization: Bearer a cualquier host que indicara la cabecera Location. Por otra parte, las credenciales se registraban frente a un AuthScope que coincidía con cualquier host, de modo que las credenciales básicas y digest también se presentaban a un destino de redirección. Por tanto, un endpoint remoto (o cualquiera que pudiera influir en sus respuestas) podía obtener el token de portador o las credenciales configuradas simplemente respondiendo con una redirección a un host que controlara.
Actualice a Apache Camel 4.23.0, que corrige la incidencia. Los usuarios de las versiones LTS de la rama 4.18.x deben actualizar a la 4.18.5. Los usuarios de las versiones LTS de la rama 4.22.x deben actualizar a la 4.22.1. Las credenciales ahora solo se envían a la autoridad con la que se configuró el endpoint, y no se vuelven a adjuntar cuando una redirección apunta a otro host. Para despliegues que no puedan actualizarse de inmediato, establezca followRedirects=false en los endpoints que utilicen credenciales y gestione explícitamente cualquier redirección en la ruta, de forma que el destino lo elija la ruta y no el servidor remoto.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 7.5
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.49 %
- Percentil entre todas las CVEs puntuadas
- 41
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access90 % - Impacto principal
T1552Unsecured Credentialscredential access65 %
CVSS AV:N/PR:N/UI:N induce T1190; el texto indica que el token Bearer y las credenciales básicas/digest se envían a hosts de redirección, lo que da credenciales expuestas (CWE-200). La pista T1005 no se sustenta.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-200
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85251",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85251",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T16:49:16.842926Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 7.5,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 3.6,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-http",
"packageName": "org.apache.camel:camel-http",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:23.417",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85251.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25830",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25937",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25938",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24452",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-200"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache Camel HTTP component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nTwo paths handed credentials to a redirect target, which is a host chosen by the remote server rather than by the route, once followRedirects=true. OAuth2ClientConfigurer registers its interceptor with addRequestInterceptorFirst, and HttpClient runs protocol-level request interceptors inside ProtocolExec, which sits below RedirectExec in the exec chain; the interceptor therefore ran again for every redirect hop and re-attached Authorization: Bearer to whatever host the Location header named. Separately, credentials were registered against an AuthScope matching any host, so basic and digest credentials were presented to a redirect target as well. A remote endpoint - or anyone who can influence its responses - could therefore collect the bearer token or the configured credentials simply by answering with a redirect to a host it controls.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. Credentials are now sent only to the authority the endpoint was configured with, and are not re-attached when a redirect crosses to another host. For deployments that cannot upgrade immediately, set followRedirects=false on endpoints that carry credentials, and handle any redirect explicitly in the route so that the destination is chosen by the route rather than by the remote server."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}