CVE-2026-95628: Path Traversal in Apache Camel

CVE-2026-95628 è una vulnerabilità di path traversal nel componente Camel Docling di Apache Camel. La falla riguarda il modo in cui DoclingProducer gestisce l'header CamelDoclingCustomArguments, contenente argomenti personalizzati per il tool docling esterno. Una validazione incompleta (eredità da CVE-2026-40047) permette il passaggio di percorsi assoluti non controllati, consentendo a chi controlli l'header di puntare il processo docling verso directory esterne al working directory, se il processo Camel ha accesso.

Il CVSS è 5,4 (medium), ma l'impatto è concreto: amministratori che espongono route Camel a input esterni rischiano sfruttamento per accedere a configurazioni, chiavi, dati sensibili fuori dalla directory di lavoro. Il reproducer pubblico su GitHub (29 ottobre 2026) conferma riproducibilità; non segnali verificati di sfruttamento attivo in wild, ma codice disponibile significa rischio immediato per deployment che usano Camel Docling.

Amministratori devono verificare versione: da 4.15.0 prima di 4.18.5 e da 4.19.0 prima di 4.22.2 sono vulnerabili. Aggiornare a 4.23.0 (ultimo), 4.22.2 (4.22.x) o 4.18.5 (4.18.x). Per chi non può aggiornare subito: non costruire CamelDoclingCustomArguments da input esterno, configurare consumer JMS/Kafka con header filtering predefinito (rimuovono Camel.* headers), rimuovere esplicitamente CamelDoclingCustomArguments dalle rotte che ricevono messaggi da sistemi esterni per bloccare il vettore.