CVE-2026-88789
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Niewłaściwe ograniczenie odniesienia do encji zewnętrznej XML w rozszerzeniu obsługi XSLT (camel-quarkus-support-xalan) w Apache Camel Quarkus od wersji 3.2.0 przed 3.33.3 i od 3.34.0 przed 3.40.0 na wszystkich platformach umożliwia atakującemu, który dostarcza przekształcany dokument XML, odczytywanie plików lokalnych lub wysyłanie żądań do lokalizacji w sieci wewnętrznej poprzez deklarację jednostki zewnętrznej w tym dokumencie.
Rozszerzenie dostarcza do komponentu xslt własną fabrykę TransformerFactory wspieraną przez Xalan i rejestruje ją jako domyślną wersję JAXP. Xalan-J 2.7.x jest starszy niż JAXP 1.5 i nie honoruje javax.xml.XMLConstants.ACCESS_EXTERNAL_DTD ani ACCESS_EXTERNAL_STYLESHEET, więc zewnętrzne ograniczenia dostępu, jakie Apache Camel stosuje do tworzonej przez nią TransformerFactory, nie obowiązywały. Na ścieżce komponentu xslt wpływa to na treści komunikatów, które docierają do transformatora już jako javax.xml.transform.Source; treści innych typów są konwertowane do źródła SAXSource przez Apache Camel z wyłączonymi jednostkami zewnętrznymi i zewnętrznym ładowaniem DTD i nie ma to na to wpływu. Ponieważ fabryka jest również domyślną wartością JAXP, inny kod w aplikacji uzyskujący ją za pomocą TransformerFactory.newInstance() traci te same ograniczenia bez błędu.
Narażone jest to na aplikacje, jeśli korzystają z któregokolwiek z następujących rozwiązań: camel-quarkus-xslt, camel-quarkus-xslt-saxon, camel-quarkus-tika lub camel-quarkus-xmlsecurity, z których każdy przenosi rozszerzenie obsługi XSLT do ścieżki klas. Dla wszystkich oprócz camel-quarkus-xslt ekspozycja jest ograniczona do domyślnej fabryki JAXP, ponieważ te rozszerzenia same nie wykonują transformacji XSLT.
Użytkownikom zaleca się aktualizację do wersji 3.33.3 lub 3.40.0, która rozwiązuje ten problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org