CVE-2026-90885: XXE in Apache Camel Saxon XQuery

CVE-2026-90885 identifica una falla nel componente camel-saxon di Apache Camel, in XQueryBuilder. La vulnerabilità è Improper Restriction of XML External Entity Reference (CWE-611): quando il corpo del messaggio è un javax.xml.transform.Source, Camel lo passa a Saxon senza protezione XXE, consentendo l'espansione di entità esterne nel XML. Colpisce route XQuery che elaborano dati da sender esterni non fidati, specialmente con body convertito a Source o stream-based Source.

La vulnerabilità ha CVSS 7,5 (HIGH), pubblicata su NVD il 2026-10-26. Lo stesso giorno di questo articolo è comparso un reproducer pubblico su GitHub che ne conferma la riproducibilità. L'attacco sfrutta la Saxon Configuration di default senza richiedere configurazioni non-standard. Versioni da 4.0.0 a quelle precedenti 4.22.2 risultano vulnerabili. Un attaccante può leggere file accessibili a Camel e causare richieste outbound verso host dichiarati nel DOCTYPE.

Upgrade immediato per le versioni supportate: 4.23.0 (consigliato), 4.22.2 (ramo 4.22.x), 4.18.5 (ramo 4.18.x). I rami 4.14.x e precedenti, 4.15.x-4.17.x e 4.19.x-4.21.x sono EOL senza patch e richiedono migrazione. Nel frattempo, non elaborare XQuery su Source con XML da sender non fidati. Mitigazione temporanea: configurare camel-saxon con una Saxon Configuration che rifiuta DOCTYPE e disabilita external entities.