CVE-2026-91858

Résumé

FopProducer transforme le corps du message XSL-FO entrant en créant un javax.xml.transform.TransformerFactory via TransformerFactory.newInstance() et en activant uniquement FEATURE_SECURE_PROCESSING avant d'exécuter une transformation identité sur le corps. Sur le transformateur intégré au JDK, cette seule fonctionnalité vide déjà les limites accessExternalDTD et accessExternalStylesheet, de sorte qu'une DTD ou une entité externe est refusée. Lorsqu'un TransformerFactory JAXP tiers tel que Saxon-HE est présent sur le classpath, par exemple parce que l'application utilise aussi camel-xslt-saxon ou camel-saxon, TransformerFactory.newInstance() renvoie cette implémentation à la place, et FEATURE_SECURE_PROCESSING à lui seul ne restreint pas l'accès aux ressources externes sur celle-ci. Un DOCTYPE avec un sous-ensemble externe, ou une entité générale externe, déclaré dans le document XSL-FO est alors résolu et développé pendant la transformation du corps. Un expéditeur externe dont le XSL-FO atteint un producteur fop pourrait donc lire des fichiers lisibles par le processus Camel et amener le processus à émettre des requêtes vers les hôtes nommés dans le document. camel-fop n'apporte pas une telle fabrique lui-même, et exclut Xalan, de sorte qu'un déploiement par défaut utilisant le transformateur du JDK n'est pas affecté ; le problème n'est atteignable que là où un autre composant a placé un TransformerFactory JAXP alternatif sur le classpath. Les versions de la branche 4.14.x et antérieures ont atteint leur fin de vie avant la résolution de ce problème et ne reçoivent pas de correctif.

Sources

• CVE-2026-91858PoC

  Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-91858, une XXE dans Apache Camel camel-fop via un TransformerFactory tiers, avec vérification des versions affectée et corrigée.