CVE-2026-88789

ملخص

تقييد غير صحيح لمرجع الكيان الخارجي XML في إضافة دعم XSLT (camel-quarkus-support-xalan) في Apache Camel Quarkus من 3.2.0 قبل 3.33.3 ومن 3.34.0 قبل 3.40.0 على جميع المنصات يسمح للمهاجم الذي يزوّد مستند XML الذي يتم تحويله بقراءة الملفات المحلية أو إرسال طلبات إلى مواقع الشبكة الداخلية عبر إعلان كيان خارجي في ذلك المستند. توفّر الإضافة TransformerFactory الخاص بها المدعوم من Xalan إلى مكوّن xslt وتسجّله كافتراضي JAXP. يعود Xalan-J 2.7.x إلى ما قبل JAXP 1.5 ولا يحترم javax.xml.XMLConstants.ACCESS_EXTERNAL_DTD أو ACCESS_EXTERNAL_STYLESHEET، لذا لم تكن قيود الوصول الخارجي التي يطبّقها Apache Camel على TransformerFactory الذي ينشئه سارية المفعول. على مسار مكوّن xslt يؤثر هذا على أجسام الرسائل التي تصل إلى المحوّل بالفعل كـ javax.xml.transform.Source؛ أما الأجسام من أنواع أخرى فيحوّلها Apache Camel إلى SAXSource مع تعطيل الكيانات الخارجية وتحميل DTD الخارجي، ولا تتأثر. ولأن المصنع هو أيضًا افتراضي JAXP، فإن أي كود آخر في التطبيق يحصل على واحد عبر TransformerFactory.newInstance() يفقد نفس القيود دون خطأ. تتأثر التطبيقات إذا استخدمت أيًا من camel-quarkus-xslt أو camel-quarkus-xslt-saxon أو camel-quarkus-tika أو camel-quarkus-xmlsecurity، وكل منها يجلب إضافة دعم XSLT إلى مسار الفئات. وبالنسبة لجميعها باستثناء camel-quarkus-xslt، يقتصر التعرّض على مصنع JAXP الافتراضي، لأن تلك الإضافات لا تنفّذ تحويلات XSLT بنفسها. يُنصح المستخدمون بالترقية إلى الإصدار 3.33.3 أو 3.40.0، الذي يعالج هذه المشكلة.

المصادر

• CVE-2026-88789PoC

  مُعيد إنتاج إثبات مفهوم قابل للتشغيل لـ CVE-2026-88789، يوضح XXE و SSRF في Apache Camel Quarkus camel-quarkus-support-xalan عبر XSLT TransformerFactory.