PT-2026-123181
CVE-2026-90885
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Camel الإصدارات من 4.0.0 إلى 4.18.4
Apache Camel الإصدارات من 4.19.0 إلى 4.22.1
Description
يحدث تقييد غير صحيح لمراجع الكيانات الخارجية XML (XXE) في مكون Saxon الخاص بـ Apache Camel لأن
XQueryBuilder في camel-saxon يستخدم تكوين Saxon افتراضيًا يقبل إعلانات DOCTYPE ويحل الكيانات الخارجية. بينما تحمي محولات نوع XML في Camel الأجسام من نوع String أو byte[] أو InputStream، فإن الأجسام التي تكون بالفعل javax.xml.transform.Source (مثل تلك التي يتم إنشاؤها عبر convertBodyTo(Source.class)) يتم تمريرها إلى Saxon دون تغيير. يسمح هذا لمرسل خارجي بتقديم جسم XML مصمم خصيصًا يمكن استخدامه لقراءة الملفات المحلية التي يمكن لعملية Camel الوصول إليها أو إجبار العملية على إرسال طلبات إلى مضيفين خارجيين.Recommendations
التحديث إلى الإصدار 4.23.0.
بالنسبة لمسار الإصدارات 4.22.x، يرجى التحديث إلى 4.22.2.
بالنسبة لمسار الإصدارات 4.18.x، يرجى التحديث إلى 4.18.5.
كإجراء تخفيف مؤقت، تجنب تقييم XQuery على جسم رسالة هو بالفعل
javax.xml.transform.Source عندما يكون XML من مرسل غير موثوق.
كإجـراء تخفيف مؤقت، قم بتكوين نقطة نهاية xquery أو اللغة باستخدام تكوين Saxon يرفض إعلانات DOCTYPE ويعطل الكيانات الخارجية وتحميل DTD الخارجي.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾