CVE-2026-85250

Resumen

Vulnerabilidad de restricción inadecuada de referencia a entidad externa XML en el componente XPath de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Con documentType establecido en InputSource, XPathBuilder entregaba la carga útil directamente a javax.xml.xpath, que construye su propio DocumentBuilder usando los valores predeterminados del JDK. Por lo tanto, se eludía el endurecimiento aplicado al tipo de documento predeterminado de Camel: una declaración DOCTYPE que se rechaza en el tipo predeterminado se aceptaba aquí, y la entidad externa que declaraba se resolvía y expandía en el documento evaluado. Un remitente externo cuyo XML llegue a dicha expresión podría leer archivos legibles por el proceso de Camel y provocar que el proceso emita solicitudes a hosts que él nombre. La discrepancia entre los dos tipos de documento en la configuración del analizador es lo que hizo esto alcanzable, ya que una implementación que elegía InputSource por razones de streaming no tenía indicación de que también estaba eligiendo un analizador más débil. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. El tipo de documento InputSource ahora pasa por el mismo analizador endurecido que el tipo predeterminado, por lo que se rechaza un DOCTYPE. Tenga en cuenta que también comparte la vía de escape documentada de ese tipo: las mismas propiedades del sistema DocumentBuilderFactory que relajan el tipo predeterminado relajan este, por lo que una implementación que las haya establecido permanece desprotegida por diseño. Para las implementaciones que no pueden actualizar de inmediato, no use documentType=InputSource en expresiones evaluadas sobre XML no confiable; el tipo de documento predeterminado ya rechaza un DOCTYPE.

Fuentes

• CVE-2026-85250PoC

  Prueba de concepto ejecutable de XXE para CVE-2026-85250 en Apache Camel camel-xpath (documentType=InputSource), con demos afectadas y corregidas de Spring Boot y Quarkus.