Cyber ·
CVE-2026-95664: chaves S3 não confiáveis são avaliadas como expressões Simple no Apache Camel
Aviso sobre o componente AWS2-S3 do Apache Camel, que pode interpretar chaves de objetos S3 não confiáveis, recebidas no cabeçalho CamelAwsS3Key, como expressões Simple. Severidade média, CVSS 3.1 de 5.4.
O aviso CVE-2026-95664, publicado em 23 de outubro de 2026 no feed oss-sec, descreve um problema no produtor AWS2-S3 do Apache Camel. Segundo o texto, o componente pode interpretar como expressões Simple chaves de objetos S3 não confiáveis recebidas no cabeçalho CamelAwsS3Key. A classificação é de neutralização inadequada de elementos especiais em uma instrução de linguagem de expressão, conhecida como injeção de linguagem de expressão.
A severidade informada é CVSS 3.1 de 5.4 (média), com vetor AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N. As versões afetadas do artefato org.apache.camel:camel-aws2-s3 são as 4.8.0 anteriores à 4.18.5 e as 4.19.0 anteriores à 4.22.2.
O texto disponível está truncado na descrição, portanto não é possível detalhar o vetor de exploração nem as condições completas além do que foi citado. Para isso, consulte o aviso original indicado no feed oss-sec, que traz a identificação do CVE e a autoria da publicação.
Relevância: quem usa o Apache Camel com S3 para alimentar fluxos de dados, inclusive fluxos que enviam conteúdo a modelos de IA, deve verificar as versões do componente no projeto e atualizar para uma versão igual ou posterior às corrigidas indicadas acima.