Apache Camel пусна корекции за сигурност за множество дефекти в сигурността, включително уязвимости от тип XML External Entity (XXE) с висока степен на опасност, които биха могли да разкрият локални файлове или да достигнат до вътрешни системи.

Проблемите засягат няколко компонента, като рисковете варират от небезопасна обработка на XML до отдалечено изпълнение на код, откраднати идентификационни данни и неуспешни проверки за достъп.

Бюлетините за сигурност на Apache изброяват обновени версии с отстранени уязвимости за всеки засегнат клон. Корекциите обхващат различни части на Camel, така че излагането на риск зависи от компонентите и настройките, които дадено приложение използва.

Екипите трябва да проверят внедрените от тях версии спрямо отделните бюлетини, вместо да приемат, че всяко приложение с Camel е изложено на еднакъв риск. Няколко дефекта изискват съобщения, контролирани от атакуващ, за да достигнат до конкретен път на обработка.

Един съществен проблем, CVE-2026-90885, засяга Camel-Saxon. Неговият XQueryBuilder обработва тела на съобщения, вече представени като обекти javax.xml.transform.Source, използвайки настройките на парсера по подразбиране на Saxon. Това позволява външна същност, декларирана в тялото на XML, да бъде разрешена, създавайки слабост от тип XXE в този път на обработка.

Според бюлетина на Apache за Camel-Saxon този проблем е отделен от CVE-2026-85250 в Camel-XPath. Дефектът в XPath се проявява, когато documentType=InputSource подава инжектирания код на механизъм, който изгражда собствен парсер с настройките по подразбиране на JDK. Следователно XML декларации, блокирани от типа документ по подразбиране, биха могли да бъдат приети през този алтернативен път.

Apache Camel отстранява множество уязвимости

Трети проблем с висока степен на опасност, CVE-2026-88901, засяга Camel-Smooks. Неговият XML четец по подразбиране разрешава външни общи и параметрични същности и зарежда външни дефиниции за тип документ (DTD).

В резултат на това контролирано от атакуващ XML съобщение би могло да прочете локални файлове или да се свърже с вътрешни хостове. Camel-FOP също получи корекция за сигурност със средна степен на опасност за XXE поради небезопасна обработка при наличие на определени външни реализации на XML трансформатори.

По-широкото обновление включва CVE-2026-88900 — слабост от висока степен на опасност, свързана с небезопасна десериализация в Java в Camel-JGroups, която може да доведе до отдалечено изпълнение на код.

Camel-HTTP също съдържа проблем с изтичане на идентификационни данни от висока степен на опасност, проследяван като CVE-2026-85251. Когато followRedirects е активирано, компонентът прикачва заглавката Authorization към дестинацията, посочена от пренасочването, позволявайки на отдалечен сървър да избере къде да бъдат изпратени тези идентификационни данни. Други корекции адресират заобикаляне на OAuth автентикация и слабости при валидиране на Keycloak токени.

Тези констатации следват по-ранни съобщения за инжектиране на заглавки в Apache Camel и атаки, насочени срещу уязвимости в Tomcat и Camel. Тези доклади се отнасят до по-стари пропуски и не трябва да се разглеждат като доказателство, че новоизброените проблеми биват активно експлоатирани.

За дефекта в Saxon Apache посочва корекции във версии 4.18.5, 4.22.2 и 4.23.0. Apache отстрани проблемите в XPath и Smooks във версии 4.18.5, 4.22.1 и 4.23.0.

Организациите, които избират обновяване, трябва да вземат предвид по-късната корекция за Saxon, вместо да спират на 4.22.1. Прегледайте внедрените XML компоненти, входните точки за съобщения и настройките за пренасочване по време на планирането на инсталиране на корекции за сигурност.

Използвайте специфичните за компонентите диапазони от версии на Apache, за да потвърдите обхвата на защитата, особено когато няколко библиотеки на Camel са пакетирани в рамките на едно приложение.