CVE-2026-85250

ملخص

ثغرة الإشارة الخارجية غير السليمة لكيانات XML الخارجية (XXE) في مكوّن Apache Camel XPath. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عند ضبط documentType على InputSource، كان XPathBuilder يمرّر الحمولة مباشرةً إلى javax.xml.xpath، الذي يبني DocumentBuilder خاصًا به باستخدام إعدادات JDK الافتراضية. وبذلك تم تجاوز التحصين المطبّق على نوع المستند الافتراضي في Camel: فقد قُبل هنا إعلان DOCTYPE الذي يُرفض على النوع الافتراضي، وتم حل الكيان الخارجي الذي أعلنه وتوسيعه داخل المستند المُقيَّم. ويمكن لمرسل خارجي يصل XML الخاص به إلى تعبير كهذا أن يقرأ الملفات القابلة للقراءة بواسطة عملية Camel وأن يتسبب في أن تُصدر العملية طلبات إلى مضيفين يحددهم. إن اختلاف نوعي المستند في إعدادات المحلّل هو ما جعل هذا قابلًا للاستغلال، إذ لم يكن لدى أي نشر يختار InputSource لأسباب تتعلق بالبث أي مؤشر على أنه يختار أيضًا محلّلًا أضعف. قم بالترقية إلى Apache Camel 4.23.0، الذي يعالج المشكلة. يجب على المستخدمين على فرع الإصدارات 4.18.x LTS الترقية إلى 4.18.5. ويجب على المستخدمين على فرع الإصدارات 4.22.x LTS الترقية إلى 4.22.1. أصبح نوع المستند InputSource الآن يمر عبر المحلّل المحصَّن نفسه المستخدم للنوع الافتراضي، لذا يُرفض DOCTYPE. لاحظ أنه يشارك أيضًا مخرج الهروب الموثّق الخاص بذلك النوع: فخصائص النظام نفسها الخاصة بـ DocumentBuilderFactory التي تخفّف النوع الافتراضي تخفّف هذا النوع أيضًا، لذا يبقى أي نشر قام بضبطها غير محمي بحكم التصميم. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، لا تستخدم documentType=InputSource على التعبيرات التي تُقيَّم على XML غير موثوق؛ فنوع المستند الافتراضي يرفض بالفعل DOCTYPE.

المصادر

• CVE-2026-85250PoC

  إثبات مفهوم XXE قابل للتشغيل لـ CVE-2026-85250 في Apache Camel camel-xpath (documentType=InputSource)، مع عروض توضيحية متأثرة ومُصلحة لكل من Spring Boot وQuarkus.