CVE-2026-85250

Resumo

Vulnerabilidade de Restrição Imprópria de Referência a Entidade Externa XML no componente XPath do Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. Com documentType definido como InputSource, o XPathBuilder entregava o payload diretamente ao javax.xml.xpath, que constrói seu próprio DocumentBuilder usando os padrões do JDK. O endurecimento aplicado ao tipo de documento padrão do Camel foi, portanto, contornado: uma declaração DOCTYPE que é recusada no tipo padrão foi aceita aqui, e a entidade externa que ela declarava foi resolvida e expandida no documento avaliado. Um remetente externo cujo XML chegue a tal expressão poderia ler arquivos legíveis pelo processo do Camel e fazer com que o processo emitisse requisições para hosts que ele nomeasse. A divergência entre os dois tipos de documento quanto à configuração do parser é o que tornou isso alcançável, já que uma implantação que escolhia InputSource por razões de streaming não tinha indicação de que também estava escolhendo um parser mais fraco. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de releases LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de releases LTS 4.22.x devem atualizar para 4.22.1. O tipo de documento InputSource agora passa pelo mesmo parser endurecido que o tipo padrão, de modo que um DOCTYPE é recusado. Observe que ele também compartilha a válvula de escape documentada desse tipo: as mesmas propriedades de sistema do DocumentBuilderFactory que relaxam o tipo padrão relaxam este, portanto uma implantação que as tenha definido permanece desprotegida por design. Para implantações que não podem atualizar imediatamente, não use documentType=InputSource em expressões avaliadas sobre XML não confiável; o tipo de documento padrão já recusa um DOCTYPE.

Fontes

• CVE-2026-85250PoC

  Prova de conceito XXE executável para CVE-2026-85250 no Apache Camel camel-xpath (documentType=InputSource), com demos afetadas e corrigidas em Spring Boot e Quarkus.