CVE-2026-91858

Resumen

FopProducer transforma el cuerpo del mensaje XSL-FO entrante creando un javax.xml.transform.TransformerFactory mediante TransformerFactory.newInstance() y habilitando únicamente FEATURE_SECURE_PROCESSING antes de ejecutar una transformación de identidad sobre el cuerpo. En el transformador integrado del JDK, esa característica por sí sola ya vacía los límites accessExternalDTD y accessExternalStylesheet, por lo que se rechaza un DTD o una entidad externos. Cuando un TransformerFactory JAXP de terceros, como Saxon-HE, está en el classpath, por ejemplo porque la aplicación también usa camel-xslt-saxon o camel-saxon, TransformerFactory.newInstance() devuelve esa implementación en su lugar, y FEATURE_SECURE_PROCESSING por sí sola no restringe el acceso a recursos externos en ella. Un DOCTYPE con un subconjunto externo, o una entidad general externa, declarados en el documento XSL-FO se resuelven y expanden entonces mientras se transforma el cuerpo. Un remitente externo cuyo XSL-FO llegue a un productor fop podría, por lo tanto, leer archivos legibles por el proceso de Camel y provocar que el proceso emita solicitudes a los hosts que el documento nombre. camel-fop no incorpora tal fábrica por sí mismo y excluye Xalan, por lo que una implementación predeterminada que use el transformador del JDK no se ve afectada; el problema solo es alcanzable cuando otro componente ha colocado un TransformerFactory JAXP alternativo en el classpath. Las versiones de la línea 4.14.x y anteriores alcanzaron el fin de su vida útil antes de que se resolviera este problema y no reciben una corrección.

Fuentes

• CVE-2026-91858PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-91858, un XXE en Apache Camel camel-fop a través de un TransformerFactory de terceros, con verificación de afectación y parcheo.