CVE-2026-91858

Zusammenfassung

FopProducer transformiert den eingehenden XSL-FO-Nachrichtentext, indem es über TransformerFactory.newInstance() eine javax.xml.transform.TransformerFactory erstellt und vor der Ausführung einer Identitätstransformation über den Textkörper ausschließlich FEATURE_SECURE_PROCESSING aktiviert. Beim integrierten Transformer des JDK leert dieses Merkmal allein bereits die Limits accessExternalDTD und accessExternalStylesheet, sodass eine externe DTD oder Entität abgelehnt wird. Wenn sich eine JAXP-TransformerFactory eines Drittanbieters wie Saxon-HE im Klassenpfad befindet, beispielsweise weil die Anwendung auch camel-xslt-saxon oder camel-saxon verwendet, gibt TransformerFactory.newInstance() stattdessen diese Implementierung zurück, und FEATURE_SECURE_PROCESSING allein schränkt den Zugriff auf externe Ressourcen bei ihr nicht ein. Eine DOCTYPE-Deklaration mit externer Teilmenge oder eine externe allgemeine Entität, die im XSL-FO-Dokument deklariert ist, wird dann während der Transformation des Textkörpers aufgelöst und expandiert. Ein externer Absender, dessen XSL-FO einen fop-Producer erreicht, könnte daher Dateien lesen, die für den Camel-Prozess lesbar sind, und bewirken, dass der Prozess Anfragen an die im Dokument genannten Hosts stellt. camel-fop bringt eine solche Factory nicht selbst mit und schließt Xalan aus, sodass eine Standardbereitstellung mit dem JDK-Transformer nicht betroffen ist; das Problem ist nur dort erreichbar, wo eine andere Komponente eine alternative JAXP-TransformerFactory im Klassenpfad platziert hat. Releases der 4.14.x-Linie und früher erreichten vor der Behebung dieses Problems das Ende ihres Lebenszyklus und erhalten keinen Fix.

Quellen

• CVE-2026-91858PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-91858, eine XXE-Schwachstelle in Apache Camel camel-fop über eine TransformerFactory eines Drittanbieters, mit Verifikation der betroffenen und der gepatchten Version.