Cyber ·
CVE-2026-95663: Apache Camel Keycloak aceita tokens expirados por cache de introspecção
Aviso de segurança publicado em 23 de outubro de 2026: resultados de introspecção em cache não respeitam a expiração do token, e o componente camel-keycloak pode aceitar tokens de acesso expirados. Severidade CVSS 3.1 de 4.8 (média), com versões afetadas indicadas na fonte.
O aviso CVE-2026-95663 descreve um problema de expiração insuficiente de sessão no componente Keycloak do Apache Camel. Segundo a fonte, os resultados de introspecção armazenados em cache não respeitam a expiração do token, o que permite que a política de segurança do componente aceite tokens já expirados. A fonte informa as versões afetadas: org.apache.camel:camel-keycloak da 4.16.0 até antes da 4.18.5, e da 4.19.0 até antes da 4.22.2. A pontuação CVSS 3.1 é 4.8, de severidade média, com vetor AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N. O texto foi publicado por Andrea Cosentino no feed da lista oss-sec e é uma tradução automática do conteúdo original. Para consultar e verificar, localize o aviso original pelo nome do CVE na lista oss-sec e confira a versão e o vetor nas notas oficiais do projeto Apache Camel antes de qualquer decisão. Este item é um alerta de segurança e não um tutorial de uso da Rota Nacional.