CVE-2026-85250

Résumé

Vulnérabilité de restriction incorrecte des références d'entités externes XML dans le composant XPath d'Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Avec documentType défini sur InputSource, XPathBuilder transmettait la charge utile directement à javax.xml.xpath, qui construit son propre DocumentBuilder en utilisant les valeurs par défaut du JDK. Le durcissement appliqué au type de document par défaut de Camel était donc contourné : une déclaration DOCTYPE refusée sur le type par défaut était acceptée ici, et l'entité externe qu'elle déclarait était résolue et développée dans le document évalué. Un expéditeur externe dont le XML atteint une telle expression pouvait lire les fichiers lisibles par le processus Camel et amener le processus à émettre des requêtes vers les hôtes qu'il nomme. C'est le désaccord entre les deux types de document sur la configuration du parseur qui rendait cela exploitable, car un déploiement choisissant InputSource pour des raisons de streaming n'avait aucune indication qu'il choisissait aussi un parseur plus faible. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs de la branche LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs de la branche LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Le type de document InputSource passe désormais par le même parseur durci que le type par défaut, de sorte qu'une DOCTYPE est refusée. Notez qu'il partage également la trappe d'échappement documentée de ce type : les mêmes propriétés système DocumentBuilderFactory qui assouplissent le type par défaut assouplissent celui-ci, de sorte qu'un déploiement qui les a définies reste non protégé par conception. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, n'utilisez pas documentType=InputSource sur des expressions évaluées sur du XML non fiable ; le type de document par défaut refuse déjà une DOCTYPE.

Sources

• CVE-2026-85250PoC

  Preuve de concept XXE exécutable pour CVE-2026-85250 dans Apache Camel camel-xpath (documentType=InputSource), avec des démos Spring Boot et Quarkus affectées et corrigées.