CVE-2026-85250

Apache Camel XPath bileşeninde Hatalı XML Harici Varlık Referansı Kısıtlaması zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. documentType değeri InputSource olarak ayarlandığında, XPathBuilder yükü doğrudan javax.xml.xpath'e aktarmaktaydı ve bu yapı JDK varsayılanlarını kullanarak kendi DocumentBuilder nesnesini oluşturmaktaydı. Bu durum, Camel'ın varsayılan belge türüne uygulanan sıkılaştırmanın atlatılmasına neden olmuştur: Varsayılan türde reddedilen bir DOCTYPE bildirimi burada kabul edilmiş ve bildirdiği harici varlık çözümlenerek değerlendirilen belgeye dahil edilmiştir. XML verisi böyle bir ifadeye ulaşan harici bir gönderici, Camel işlemi tarafından okunabilen dosyaları okuyabilir ve işlemin belirttiği ana bilgisayarlara istekler göndermesine neden olabilir. İki belge türünün ayrıştırıcı konfigürasyonu konusunda uyuşmaması bu durumu erişilebilir kılmıştır; çünkü akış (streaming) nedenleriyle InputSource seçen bir kurulumun, aynı zamanda daha zayıf bir ayrıştırıcıyı da seçtiğine dair hiçbir gösterge bulunmamaktaydı. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. InputSource belge türü artık varsayılan türle aynı sıkılaştırılmış ayrıştırıcıdan geçmekte, dolayısıyla DOCTYPE reddedilmektedir. Bu türün, söz konusu tipin belgelenmiş kaçış yoluyla (escape hatch) paylaşıldığını unutmayın: Varsayılan türü gevşeten DocumentBuilderFactory sistem özellikleri bunu da gevşetir, bu nedenle bunları ayarlamış olan bir kurulum tasarım gereği korumasız kalmaya devam eder. Hemen yükseltme yapamayan kurulumlar için, güvenilmeyen XML üzerinden değerlendirilen ifadelerde documentType=InputSource kullanmayın; varsayılan belge türü zaten DOCTYPE'ı reddetmektedir.