Deserialização da vulnerabilidade de dados não confiados no componente PQC do Apache Camel. O componente camelo- pqc persiste metadados chave pós- quantum (KeyMetadata) através de implementações pluggáveis KeyLifecycleManager. AwsSecretsManagerKeyLifecycleManager.deserializeMetadata() lê que os metadados de volta do segredo configurado do Gerenciador de Segredos AWS por Base 64 - descodificando o valor armazenado e deserializando- o com um java.io.ObjectInputStream.readObject() e sem ObjectInputFiltro ou lista de permissões de classes; o elenco para KeyMetadata ocorre apenas após o retorno do readObject() e, por isso, quaisquer efeitos colaterais do readObject() em um objeto criado são executados antes da verificação do tipo. Um principal que pode escrever para o AWS Secrets Manager segredo que contém estes metadados (requerendo secretsmanager:PutSecretValue nesse segredo) pode armazenar um objeto serializado criado que é deserializado durante operações normais do ciclo de vida das chaves, levando potencialmente à execução de código no contexto do aplicativo que gerencia as chaves. Este é o mesmo defeito subjacente, no mesmo caminho de código e remediado pela mesma correção, como CVE- 2026 - 46590, que foi reportado de forma independente e adicionalmente cobre os gerentes de HashiCorp Vault e de irmãos baseados em arquivos; ambos são seguidos de remediação incompleta para CVE- 2026 - 40048 (CAMEL- 23200 ). Esta questão afeta o Apache Camel: from 4.18.0 antes 4.18.3, a partir de 4.19.0 antes 4.21.0.

Os usuários são recomendados para atualizar para a versão 4.21.0, que corrige o problema. Se os usuários estiverem no 4.18.x LTS libera fluxo, então eles são sugeridos para atualizar para 4.18.3. Para implantações que não podem atualizar imediatamente, restrinja o acesso de gravação ao segredo do Gerenciador de Segredos AWS que contém os metadados chaves camel- pqc, de modo que apenas a própria identidade do aplicativo contém segredosgestor:PutSecretValue nela (AIM menos privilegiado), e mantenha o material chave PQC em um segredo separado de quaisquer dados que os principais menos confiáveis possam escrever. Registro de aconselhamento: GHSA- 7 cmx-qjh 8 - 7 v 3 v. Identificadores relacionados: CVE- 2026 - 43867.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 06 T 09: 30: 28.000 Z e lista a sua última modificação como 2026 - 08 - 26 T 17: 52: 47.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Informações sobre software e versão afetadas: Pacote Maven org.apache.camel:camel- pqc — ECOSISTEM: introduzido 4.18.0, corrigido 4.18.3 ї Pacote Maven org.apache.camel:camel- pqc — ECOSISTEM: introduzido 4.19.0, corrigido 4.21.0.

Classificação e evidência: identificadores de fraqueza CWE- 502. O registro contém 10 suporte de referências nestes tipos: AVISO, WEB, EMBALAGEM.