CVE-2026-85250

总结

Apache Camel XPath 组件中存在 XML 外部实体引用限制不当漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当 documentType 设置为 InputSource 时，XPathBuilder 会将载荷直接交给 javax.xml.xpath，后者使用 JDK 默认值自行构建 DocumentBuilder。因此，应用于 Camel 默认文档类型的加固措施被绕过：在默认类型上会被拒绝的 DOCTYPE 声明在此处被接受，并且其声明的外部实体被解析并展开到被求值的文档中。如果外部发送者的 XML 到达此类表达式，便可读取 Camel 进程可读的文件，并导致该进程向其指定的主机发起请求。两种文档类型在解析器配置上的不一致正是此问题可被触达的原因，因为出于流式处理原因选择 InputSource 的部署没有任何迹象表明它同时也选择了较弱的解析器。请升级至 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级至 4.18.5。使用 4.22.x LTS 发布流的用户应升级至 4.22.1。InputSource 文档类型现在与默认类型一样经过相同的加固解析器，因此 DOCTYPE 会被拒绝。请注意，它同样共享该类型已记录的逃生通道：放宽默认类型的相同 DocumentBuilderFactory 系统属性也会放宽此类型，因此已设置这些属性的部署按设计仍不受保护。对于无法立即升级的部署，请勿在针对不可信 XML 求值的表达式上使用 documentType=InputSource；默认文档类型已经会拒绝 DOCTYPE。

来源

• CVE-2026-85250PoC

  针对 Apache Camel camel-xpath（documentType=InputSource）中 CVE-2026-85250 的可运行 XXE 概念验证，包含 Spring Boot 和 Quarkus 的受影响版本与修复版本演示。