CVE-2026-85250

सारांश

Apache Camel XPath घटक में XML External Entity Reference के अनुचित प्रतिबंध का भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब documentType को InputSource पर सेट किया जाता है, तो XPathBuilder पेलोड को सीधे javax.xml.xpath को सौंप देता है, जो JDK डिफ़ॉल्ट का उपयोग करके अपना स्वयं का DocumentBuilder बनाता है। इस प्रकार Camel के डिफ़ॉल्ट दस्तावेज़ प्रकार पर लागू किया गया हार्डनिंग बायपास हो गया: जिस DOCTYPE घोषणा को डिफ़ॉल्ट प्रकार पर अस्वीकार किया जाता है, वह यहाँ स्वीकार कर ली गई, और उसके द्वारा घोषित बाहरी एंटिटी को हल करके मूल्यांकित दस्तावेज़ में विस्तारित कर दिया गया। कोई बाहरी प्रेषक जिसका XML ऐसे एक्सप्रेशन तक पहुँचता है, Camel प्रक्रिया द्वारा पढ़ी जा सकने वाली फ़ाइलें पढ़ सकता है और प्रक्रिया को उन होस्ट्स पर अनुरोध जारी करने के लिए प्रेरित कर सकता है जिनके नाम वह बताता है। दोनों दस्तावेज़ प्रकारों का पार्सर कॉन्फ़िगरेशन पर असहमत होना ही इसे पहुँच योग्य बनाता है, क्योंकि स्ट्रीमिंग कारणों से InputSource चुनने वाले डिप्लॉयमेंट को कोई संकेत नहीं था कि वह कमज़ोर पार्सर भी चुन रहा है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। InputSource दस्तावेज़ प्रकार अब डिफ़ॉल्ट प्रकार के समान हार्डन किए गए पार्सर से होकर गुज़रता है, इसलिए DOCTYPE अस्वीकार कर दिया जाता है। ध्यान दें कि यह उस प्रकार के प्रलेखित एस्केप हैच को भी साझा करता है: वही DocumentBuilderFactory सिस्टम प्रॉपर्टीज़ जो डिफ़ॉल्ट प्रकार को शिथिल करती हैं, इस प्रकार को भी शिथिल करती हैं, इसलिए जिस डिप्लॉयमेंट ने उन्हें सेट किया है, वह डिज़ाइन के अनुसार असुरक्षित रहता है। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उनके लिए अविश्वसनीय XML पर मूल्यांकित एक्सप्रेशन्स पर documentType=InputSource का उपयोग न करें; डिफ़ॉल्ट दस्तावेज़ प्रकार पहले से ही DOCTYPE को अस्वीकार करता है।

स्रोत

• CVE-2026-85250PoC

  Apache Camel camel-xpath (documentType=InputSource) में CVE-2026-85250 के लिए रन करने योग्य XXE प्रूफ-ऑफ-कॉन्सेप्ट, जिसमें Spring Boot और Quarkus के प्रभावित बनाम ठीक किए गए डेमो शामिल हैं।