Apache Camel: Camel-FOP अविश्वसनीय XSL-FO इनपुट से बाहरी DTD और एंटिटीज़ को हल करता है जब कोई तृतीय-पक्ष JAXP TransformerFactory मौजूद हो
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:Nकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
FopProducer, TransformerFactory.newInstance() के माध्यम से एक javax.xml.transform.TransformerFactory बनाकर और body पर identity transform चलाने से पहले केवल FEATURE_SECURE_PROCESSING सक्षम करके, आने वाले XSL-FO message body को रूपांतरित करता है। JDK के अंतर्निहित transformer पर, वह विशेषता अकेले ही accessExternalDTD और accessExternalStylesheet सीमाओं को खाली कर देती है, इसलिए किसी बाहरी DTD या entity को अस्वीकार कर दिया जाता है। जब classpath पर Saxon-HE जैसा कोई तृतीय-पक्ष JAXP TransformerFactory मौजूद हो, उदाहरण के लिए इसलिए कि एप्लिकेशन camel-xslt-saxon या camel-saxon का भी उपयोग करता है, तो TransformerFactory.newInstance() उसके बजाय वही implementation लौटाता है, और उस पर अकेले FEATURE_SECURE_PROCESSING बाहरी संसाधन पहुँच को प्रतिबंधित नहीं करता। तब XSL-FO दस्तावेज़ में घोषित बाहरी subset वाला DOCTYPE, या कोई बाहरी general entity, body के रूपांतरण के दौरान resolve और expand हो जाता है। कोई बाहरी प्रेषक जिसका XSL-FO किसी fop producer तक पहुँचता है, इसलिए Camel प्रक्रिया द्वारा पढ़ी जा सकने वाली फ़ाइलें पढ़ सकता है और प्रक्रिया से दस्तावेज़ में नामित hosts को अनुरोध भेजवा सकता है। camel-fop स्वयं ऐसा कोई factory नहीं लाता, और Xalan को बाहर रखता है, इसलिए JDK transformer का उपयोग करने वाली डिफ़ॉल्ट deployment प्रभावित नहीं होती; यह समस्या केवल वहाँ पहुँच योग्य है जहाँ किसी अन्य component ने classpath पर कोई वैकल्पिक JAXP TransformerFactory रखा हो। 4.14.x श्रृंखला और उससे पहले के releases इस समस्या के समाधान से पहले ही end of life तक पहुँच चुके थे और उन्हें कोई fix नहीं मिलता।
CVE-2026-91858 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो तृतीय-पक्ष TransformerFactory के माध्यम से Apache Camel camel-fop में एक XXE है, जिसमें प्रभावित और पैच किए गए सत्यापन शामिल हैं।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।