CVE-2026-88789

Apache Camel Quarkus-un bütün platformalarda 3.2.0-dan 3.33.3-ə qədər və 3.34.0-dan 3.40.0-a qədər olan versiyalarında XSLT dəstək genişlənməsində (camel-quarkus-support-xalan) XML xarici entiti istinadlarının yanlış məhdudlaşdırılması, transformasiya olunan XML sənədini təmin edən hücumçunun həmin sənəddəki xarici entiti bəyanı vasitəsilə lokal faylları oxumasına və ya daxili şəbəkə ünvanlarına sorğular göndərməsinə imkan verir. Genişlənmə xslt komponentinə öz Xalan əsaslı TransformerFactory-ni təqdim edir və onu JAXP standartı kimi qeydiyyatdan keçirir. Xalan-J 2.7.x versiyası JAXP 1.5-dən əvvəl yaradılıb və javax.xml.XMLConstants.ACCESS_EXTERNAL_DTD və ya ACCESS_EXTERNAL_STYLESHEET parametrlərini nəzərə almır, buna görə də Apache Camel-in yaratdığı TransformerFactory-yə tətbiq etdiyi xarici giriş məhdudiyyətləri qüvvədə olmayıb. xslt komponenti yolunda bu, transformatora artıq javax.xml.transform.Source kimi çatan mesaj gövdələrinə təsir göstərir; digər tipli gövdələr Apache Camel tərəfindən xarici entitilər və xarici DTD yükləməsi söndürülmüş şəkildə SAXSource-a çevrilir və onlara təsir etmir. Zavod həmçinin JAXP standartı olduğu üçün, tətbiqdəki TransformerFactory.newInstance() vasitəsilə zavodu əldə edən digər kodlar heç bir xəta olmadan eyni məhdudiyyətləri itirir. Əgər tətbiqlər camel-quarkus-xslt, camel-quarkus-xslt-saxon, camel-quarkus-tika və ya camel-quarkus-xmlsecurity genişlənmələrindən hər hansı birini istifadə edirsə, onlar təsirlənir, çünki bunların hər biri XSLT dəstək genişlənməsini classpath-ə əlavə edir. camel-quarkus-xslt istisna olmaqla, digərləri üçün risk yalnız JAXP standart zavodu ilə məhdudlaşır, çünki həmin genişlənmələr özləri XSLT transformasiyaları yerinə yetirmirlər. İstifadəçilərə bu problemi aradan qaldıran 3.33.3 və ya 3.40.0 versiyalarına yüksəltmə etmək tövsiyə olunur.