CVE-2026-90885

Apache Camel Saxon bileşeninde Hatalı XML Harici Varlık Referansı Kısıtlaması zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.2 arası. camel-saxon içerisindeki, xquery dili ve xquery bileşeni için ifadeleri değerlendiren XQueryBuilder; varsayılan Saxon Configuration yapısını yalnızca boşluk temizleme kuralını belirleyen ayrıştırma seçenekleriyle oluşturmuş, XML ayrıştırıcısını varsayılan ayarlarında bırakmıştır; bu ayarlarda bir DOCTYPE bildirimi kabul edilir ve harici varlıklar çözümlenir. String veya byte[] tipindeki bir mesaj gövdesi ya da InputStream olarak okunan herhangi bir gövde, önce Camel'ın kendi XML tip dönüştürücüleri tarafından javax.xml.transform.Source formatına dönüştürülür; bu dönüştürücüler ayrıştırıcıyı harici varlıklara karşı yapılandırdığı için bu gövdeler etkilenmemiştir. Ancak halihazırda bir Source olan gövde, Saxon'a değiştirilmeden aktarılmış ve akış tabanlı bir Source gibi hala ayrıştırılması gerektiğinde, Saxon bunu söz konusu Configuration ile ayrıştırarak diğer gövde tiplerine uygulanan korumayı atlatmıştır. Böyle bir gövde, örneğin bir rotanın mesajı convertBodyTo(Source.class) ile dönüştürmesinden sonra veya rotadaki daha önceki bir bileşen ya da işlemcinin gövdeyi akış tabanlı bir Source olarak ayarlaması durumunda ortaya çıkar. Bu nedenle, söz konusu gövdede bildirilen harici bir alt kümeye sahip bir DOCTYPE veya harici bir varlık, ifadenin üzerinde değerlendirildiği belgeye çözümlenmiş ve genişletilmiştir. XML verisi bu formda bir XQuery ifadesine veya xquery uç noktasına ulaşan harici bir gönderici, Camel işlemi tarafından okunabilen dosyaları okuyabilir ve işlemin belgede adı geçen ana bilgisayarlara istek göndermesine neden olabilir. Rota kendi konfigürasyonunu sağlamadığı sürece varsayılan Configuration kullanıldığından, varsayılan olmayan herhangi bir seçeneğe gerek yoktur. Kullanıcıların sorunu gideren 4.23.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.22.x sürüm hattındaysa, 4.22.2 sürümüne yükseltmeleri önerilir. Kullanıcılar 4.18.x sürüm hattındaysa, 4.18.5 sürümüne yükseltmeleri önerilir. 4.14.x ve öncesi sürüm hatlarının yanı sıra 4.15.x ile 4.17.x ve 4.19.x ile 4.21.x arasındaki sürüm hatları, bu sorun çözülmeden önce ömürlerini tamamladıkları (end of life) için düzeltme almayacaklardır; dolayısıyla bu sürümlerdeki kurulumlar desteklenen bir sürüme taşınmalıdır. Hemen yükseltme yapamayan kurulumlar için, güvenilmeyen bir göndericiden gelen XML taşıyan ve halihazırda javax.xml.transform.Source olan bir mesaj gövdesi üzerinden XQuery değerlendirmesi yapmayın veya xquery uç noktasının ya da dilinin konfigürasyon seçeneğini, ayrıştırma seçenekleri DOCTYPE bildirimini reddeden, harici varlıkları ve harici DTD yüklemeyi devre dışı bırakan bir Saxon Configuration olarak ayarlayın; bu, düzeltilmiş sürümlerin artık varsayılan olarak uyguladığı yöntemdir.