CVE-2026-91858

ملخص

يقوم FopProducer بتحويل نص رسالة XSL-FO الواردة عبر إنشاء javax.xml.transform.TransformerFactory من خلال TransformerFactory.newInstance() وتمكين FEATURE_SECURE_PROCESSING فقط قبل تنفيذ تحويل هوية على النص. في المحوّل المدمج في JDK، يؤدي هذا الخيار وحده بالفعل إلى إفراغ حدّي accessExternalDTD وaccessExternalStylesheet، لذا يُرفض أي DTD أو كيان خارجي. وعندما يكون TransformerFactory من JAXP تابع لجهة خارجية مثل Saxon-HE موجودًا على مسار الفئات (classpath)، على سبيل المثال لأن التطبيق يستخدم أيضًا camel-xslt-saxon أو camel-saxon، فإن TransformerFactory.newInstance() يعيد ذلك التطبيق بدلًا من ذلك، ولا يقيّد FEATURE_SECURE_PROCESSING بمفرده الوصول إلى الموارد الخارجية عليه. وعندئذٍ يُحلّ DOCTYPE ذو مجموعة فرعية خارجية، أو كيان عام خارجي، معلن في مستند XSL-FO ويُوسَّع أثناء تحويل النص. لذلك يمكن لمرسل خارجي تصل رسالة XSL-FO الخاصة به إلى منتج fop أن يقرأ الملفات القابلة للقراءة بواسطة عملية Camel وأن يتسبب في قيام العملية بإصدار طلبات إلى المضيفين الذين يسمّيهم المستند. لا يجلب camel-fop مثل هذا المصنع بنفسه، ويستبعد Xalan، لذا فإن النشر الافتراضي الذي يستخدم محوّل JDK غير متأثر؛ ولا يكون هذا الأمر قابلًا للاستغلال إلا حيث تكون مكوّنات أخرى قد وضعت TransformerFactory بديلًا من JAXP على مسار الفئات. وقد وصلت الإصدارات على خط 4.14.x وما قبله إلى نهاية العمر الافتراضي قبل حل هذه المشكلة ولا تتلقى إصلاحًا.

المصادر

• CVE-2026-91858PoC

  مُعيد إنتاج قابل للتشغيل بـ Spring Boot وQuarkus لـ CVE-2026-91858، وهو ثغرة XXE في Apache Camel camel-fop عبر TransformerFactory من طرف ثالث، مع التحقق من الإصدارات المتأثرة والمُصحّحة.