CVE-2026-85250
Vulnerabilidad de restricción inadecuada de referencias a entidades externas XML (CWE-611) en el componente XPath de Apache Camel.
El problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
Con documentType establecido en InputSource, XPathBuilder entregaba la carga útil directamente a javax.xml.xpath, que crea su propio DocumentBuilder utilizando los valores predeterminados del JDK.
Leer descripción completaMostrar menos
Por tanto, se eludía el endurecimiento aplicado al tipo de documento predeterminado de Camel: una declaración DOCTYPE que se rechaza con el tipo predeterminado sí se aceptaba aquí, y la entidad externa que declaraba se resolvía y se expandía en el documento evaluado. Un remitente externo cuyo XML llegara a una expresión de este tipo podía leer archivos legibles por el proceso de Camel y hacer que el proceso emitiera solicitudes a los hosts que indicara. Que los dos tipos de documento difirieran en la configuración del analizador es lo que hacía posible este escenario, ya que una implementación que eligiera InputSource por motivos de streaming no tenía indicio alguno de que también estaba eligiendo un analizador más débil.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de las ramas LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de las ramas LTS 4.22.x deben actualizar a la 4.22.1. El tipo de documento InputSource utiliza ahora el mismo analizador endurecido que el tipo predeterminado, por lo que se rechaza una declaración DOCTYPE. Tenga en cuenta que también comparte la vía de escape documentada de ese tipo: las mismas propiedades del sistema de DocumentBuilderFactory que relajan el tipo predeterminado relajan también este, de modo que una implementación que haya establecido dichas propiedades sigue sin protección por diseño. Para las implementaciones que no puedan actualizar de inmediato, no utilice documentType=InputSource en expresiones evaluadas sobre XML no fiable; el tipo de documento predeterminado ya rechaza una declaración DOCTYPE.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 7.5
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.54 %
- Percentil entre todas las CVEs puntuadas
- 44
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access92 % - Impacto principal
T1005Data from Local Systemcollection85 % - Impacto secundario
T1090Proxycommand and control70 %
Vector AV:N/PR:N/UI:N; el XXE por DOCTYPE externo en XPath (documentType=InputSource) permite leer ficheros del proceso y forzar peticiones a hosts elegidos (SSRF).
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-611
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85250",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85250",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T16:50:01.891861Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 7.5,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 3.6,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-xpath",
"packageName": "org.apache.camel:camel-xpath",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:23.257",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85250.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25683",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25940",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25942",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24475",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-611"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Improper Restriction of XML External Entity Reference vulnerability in Apache Camel XPath component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nWith documentType set to InputSource, XPathBuilder handed the payload straight to javax.xml.xpath, which builds a DocumentBuilder of its own using the JDK defaults. The hardening applied to Camel's default document type was therefore bypassed: a DOCTYPE declaration that is refused on the default type was accepted here, and the external entity it declared was resolved and expanded into the evaluated document. An external sender whose XML reaches such an expression could read files readable by the Camel process and cause the process to issue requests to hosts it names. The two document types disagreeing on parser configuration is what made this reachable, since a deployment choosing InputSource for streaming reasons had no indication it was also choosing a weaker parser.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The InputSource document type now goes through the same hardened parser as the default type, so a DOCTYPE is refused. Note that it also shares that type's documented escape hatch: the same DocumentBuilderFactory system properties that relax the default type relax this one, so a deployment that has set them remains unprotected by design. For deployments that cannot upgrade immediately, do not use documentType=InputSource on expressions evaluated over untrusted XML; the default document type already refuses a DOCTYPE."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}