CVE-2026-85313 Exposición de credenciales cross-origin en Camel-Jetty por CrossOriginFilter con enableCORS

Qué es CVE-2026-85313

Al activar enableCORS en un endpoint Jetty, Apache Camel instala el CrossOriginFilter de Jetty con sus valores por defecto, que aceptan cualquier origen y permiten credenciales. Así, una página de cualquier origen puede realizar solicitudes cross-origin con credenciales al endpoint y leer las respuestas. Afecta a Apache Camel desde 4.0.0 hasta antes de 4.18.5 y desde 4.19.0 hasta antes de 4.22.1; se corrige en 4.23.0 y en las ramas LTS 4.18.5 y 4.22.x.

Productos y versiones afectadas

• Apache Software Foundation Apache Camel

  • desde 4.0.0 hasta antes de 4.18.5
  • desde 4.19.0 hasta antes de 4.22.1

Qué hacer

1. Verificá si usás Apache Camel y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• oscerd/CVE-2026-85313 ↗Reproducer for CVE-2026-85313 — Apache Camel camel-jetty enableCORS credentialed any-origin CORS (CWE-942). Camel Spring Boot.PUBLICADO 20 OCT · 16:59

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Permissive Cross-domain Policy with Untrusted Domains vulnerability in Apache Camel Jetty component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. Setting enableCORS on a Jetty endpoint installed Jetty's CrossOriginFilter with its stock defaults, which accept every origin and allow credentials. An operator asking for CORS therefore obtained a policy that lets a page on any origin make credentialed cross-origin requests to the endpoint and read the responses, without any indication that turning the option on had chosen an allow-all policy rather than an empty one to be filled in. This is the same defect class as the platform-http-vertx advisory published alongside it, in a different component. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. enableCORS no longer grants credentials to an origin the operator did not name. A deployment that relied on any origin being accepted must now list its origins explicitly. For deployments that cannot upgrade immediately, configure the CrossOriginFilter parameters explicitly rather than relying on what enableCORS installs, naming the allowed origins.

Referencias

• camel.apache.org/security/CVE-2026-85313.htmlVENDOR-ADVISORY
• issues.apache.org/jira/browse/CAMEL-24450ISSUE-TRACKING
• github.com/apache/camel/pull/25829PATCH
• github.com/apache/camel/pull/25937PATCH
• github.com/apache/camel/pull/25938PATCH

Historial de la alerta

1. 19 OCT · 10:04VULNERABILIDAD Nueva vulnerabilidad detectada.
2. 20 OCT · 16:59EXPLOIT PÚBLICO Se publicó el repositorio oscerd/CVE-2026-85313.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.