CVE-2026-85312 Secuestro de participación en sagas de Camel-Core por el encabezado Long-Running-Action sin filtrar

Qué es CVE-2026-85312

Una validación de entrada insuficiente en el componente Apache Camel Core permite que un remitente externo suministre el encabezado Long-Running-Action, que no tiene prefijo de Camel y queda fuera del namespace bloqueado por los filtros de consumidores. Así puede elegir la saga a la que se une el exchange o asociar compensaciones a acciones que no inició; la exposición se limita a despliegues con sagas sobre un coordinador LRA. Afecta a Apache Camel desde 4.0.0 hasta antes de 4.18.5 y desde 4.19.0 hasta antes de…

Productos y versiones afectadas

• Apache Software Foundation Apache Camel

  • desde 4.0.0 hasta antes de 4.18.5
  • desde 4.19.0 hasta antes de 4.22.1

Qué hacer

1. Verificá si usás Apache Camel y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• oscerd/CVE-2026-85312 ↗Reproducer for CVE-2026-85312 — Apache Camel camel-core saga hijacking via the Long-Running-Action header (CWE-20). Camel Spring Boot + Camel Quarkus.PUBLICADO 20 OCT · 16:59

Calculadora CVSS

CVSS 3.1 · 4.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Improper Input Validation vulnerability in Apache Camel Core component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. The saga processor consulted a header named Long-Running-Action to decide which saga an exchange belonged to. The name carries no Camel prefix, so it sits outside the namespace that consumer header filters block, and an external sender could supply it on an inbound message. That let the sender name the saga the exchange joined, attaching their request to a long-running action started by someone else, or causing compensation to be associated with an action they did not initiate. The header is only consulted by a saga service that uses it, which bounds the exposure to deployments running sagas over an LRA coordinator. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The header is now consulted only for a saga service that actually uses it, rather than on every exchange. For deployments that cannot upgrade immediately, strip the header at the trust boundary with removeHeaders("Long-Running-Action") on every consumer that accepts messages from an untrusted sender.

Referencias

• camel.apache.org/security/CVE-2026-85312.htmlVENDOR-ADVISORY
• issues.apache.org/jira/browse/CAMEL-24449ISSUE-TRACKING
• github.com/apache/camel/pull/25828PATCH
• github.com/apache/camel/pull/25940PATCH
• github.com/apache/camel/pull/25942PATCH

Historial de la alerta

1. 19 OCT · 10:04VULNERABILIDAD Nueva vulnerabilidad detectada.
2. 20 OCT · 16:59EXPLOIT PÚBLICO Se publicó el repositorio oscerd/CVE-2026-85312.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.