CVE-2026-85250

Apache Camel XPath komponentində XML Xarici Entitet İstinadının (XML External Entity Reference) yanlış məhdudlaşdırılması zəifliyi aşkar edilmişdir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər olan versiyalar. documentType parametri InputSource olaraq təyin edildikdə, XPathBuilder faydalı yükü birbaşa javax.xml.xpath-ə ötürürdü və həmin modul JDK standartlarından istifadə edərək öz DocumentBuilder obyektini yaradırdı. Nəticədə, Camel-in standart sənəd tipi üçün tətbiq edilən təhlükəsizlik tədbirləri yan keçilirdi: standart tipdə rədd edilən DOCTYPE deklarasiyası burada qəbul edilir və onun bəyan etdiyi xarici entitet həll edilərək qiymətləndirilən sənədə daxil edilirdi. Belə bir ifadəyə XML göndərə bilən xarici istifadəçi, Camel prosesi tərəfindən oxuna bilən faylları oxuya və prosesin onun göstərdiyi hostlara sorğular göndərməsinə səbəb ola bilərdi. İki sənəd tipinin parser konfiqurasiyasında fərqlilik olması bu boşluğun yaranmasına səbəb olmuşdur, çünki axınlanma (streaming) məqsədilə InputSource seçən tətbiqlər eyni zamanda daha zəif parser seçdikləri barədə heç bir xəbərdarlıq almırdılar. Problemi aradan qaldırmaq üçün Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edənlər 4.18.5-ə, 4.22.x LTS versiyalarını istifadə edənlər isə 4.22.1-ə yeniləməlidir. Artıq InputSource sənəd tipi də standart tip kimi eyni gücləndirilmiş parser vasitəsilə emal olunur və DOCTYPE rədd edilir. Qeyd edək ki, o, həmçinin həmin tipin sənədləşdirilmiş istisna mexanizmini paylaşır: standart tipi yumşaldan eyni DocumentBuilderFactory sistem xüsusiyyətləri bunu da yumşaldır, buna görə də onları təyin etmiş tətbiqlər dizayn baxımından qorunmamış qalır. Təcili yenilənmə imkanı olmayan tətbiqlər üçün tövsiyə edilir ki, etibarsız XML üzərində qiymətləndirilən ifadələrdə documentType=InputSource istifadə etməsinlər; standart sənəd tipi artıq DOCTYPE-ı rədd edir.