CVE-2026-103412: path traversal no Apache Camel Karavan via nome de arquivo do projeto
Aviso de 9 de outubro de 2026: a API de arquivos do projeto usava um nome fornecido sem restrição como segmento de caminho ao gravar no Git. CVSS 8.8; versões 3.18.0 até antes da 4.22.1.
Segundo o aviso publicado por Andrea Cosentino em 9 de outubro de 2026 na lista oss-sec, o Apache Camel Karavan permite path traversal. A API de arquivos do projeto aceitava um nome de arquivo e o usava sem alteração como segmento de caminho ao gravar o projeto na cópia de trabalho do Git, o que permite escrever fora do diretório pretendido. A falha afeta as versões 3.18.0 até antes da 4.22.1 e tem pontuação CVSS 3.1 de 8.8 (alta), vetor de rede, baixa complexidade, privilégio baixo e impacto alto em confidencialidade, integridade e disponibilidade.
O texto original é uma tradução automática do feed. Para verificar, consulte o identificador CVE-2026-103412 na lista oss-sec e a documentação oficial do projeto Apache Camel Karavan, confirmando a versão instalada e a correção na 4.22.1 ou posterior. O aviso descrito não traz detalhes de exploração além dessa descrição.