CVE-2026-91858

Резюме

FopProducer преобразует входящее тело сообщения XSL-FO, создавая javax.xml.transform.TransformerFactory через TransformerFactory.newInstance() и включая только FEATURE_SECURE_PROCESSING перед выполнением identity-преобразования над телом. Во встроенном трансформере JDK эта функция сама по себе уже обнуляет лимиты accessExternalDTD и accessExternalStylesheet, поэтому внешний DTD или сущность отклоняется. Когда в classpath присутствует сторонний JAXP TransformerFactory, например Saxon-HE, — например, потому что приложение также использует camel-xslt-saxon или camel-saxon, — TransformerFactory.newInstance() возвращает эту реализацию, и FEATURE_SECURE_PROCESSING сам по себе не ограничивает на ней доступ к внешним ресурсам. DOCTYPE с внешним подмножеством или внешняя общая сущность, объявленные в документе XSL-FO, в этом случае разрешаются и раскрываются во время преобразования тела. Внешний отправитель, чей XSL-FO достигает fop producer, мог бы таким образом читать файлы, доступные для чтения процессу Camel, и заставлять процесс отправлять запросы на хосты, указанные в документе. camel-fop сам не приносит такую фабрику и исключает Xalan, поэтому развёртывание по умолчанию с использованием трансформера JDK не затронуто; проблема достижима только там, где другой компонент поместил альтернативный JAXP TransformerFactory в classpath. Релизы ветки 4.14.x и более ранние достигли конца жизненного цикла до устранения этой проблемы и не получают исправления.

Источники

• CVE-2026-91858PoC

  Рабочий воспроизводитель на Spring Boot и Quarkus для CVE-2026-91858 — XXE в Apache Camel camel-fop через сторонний TransformerFactory, с проверкой уязвимой и исправленной версий.