CVE-2026-90885

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.1

Description A restrição inadequada de referências a Entidades Externas XML (XXE) no componente Saxon do Apache Camel ocorre porque o XQueryBuilder no camel-saxon utiliza uma Configuração Saxon padrão que aceita declarações DOCTYPE e resolve entidades externas. Embora os conversores de tipo XML do Camel protejam corpos do tipo String, byte[] ou InputStream, corpos que já são um javax.xml.transform.Source (como aqueles criados via convertBodyTo(Source.class)) são passados ao Saxon sem alterações. Isso permite que um remetente externo forneça um corpo XML manipulado que pode ser usado para ler arquivos locais acessíveis pelo processo Camel ou forçar o processo a fazer requisições a hosts externos.

Recommendations Atualize para a versão 4.23.0. Para o fluxo 4.22.x, atualize para 4.22.2. Para o fluxo 4.18.x, atualize para 4.18.5. Como mitigação temporária, evite avaliar XQuery sobre um corpo de mensagem que já seja um javax.xml.transform.Source quando o XML provenha de um remetente não confiável. Como mitigação temporária, configure o endpoint ou linguagem xquery com uma Configuração Saxon que recuse declarações DOCTYPE e desabilite entidades externas e o carregamento de DTDs externos.