Aktywnie wykorzystywana w atakach
OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability
OSGeo - GeoServer · Figuruje w katalogu CISA KEV od 2025-12-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-58360
WysokieCVSS 8.2KEVStreszczenie
W GeoServer od wersji 2.26.0 do przed 2.26.2 oraz przed 2.25.6 zidentyfikowano podatność XML External Entity (XXE). Aplikacja przyjmuje dane XML przez endpoint /geoserver/wms w operacji GetMap, ale dane te nie są wystarczająco oczyszczane, co pozwala atakującemu zdefiniować zewnętrzne encje w żądaniu XML.
Ocena ryzyka
Atakujący może wykorzystać XXE do odczytu plików lokalnych, przeprowadzenia ataków SSRF lub wywołania odmowy usługi na serwerze GeoServer.
Rekomendacja
Należy zaktualizować GeoServer do wersji 2.25.6, 2.26.3 lub 2.27.0, które zawierają poprawkę dla CVE-2025-58360.
Inne podatności w GeoServer
Zobacz wszystkie- CVE-2025-58175Średnie
GeoServer przed wersjami 2.26.4 i 2.27.3 może pozwolić atakującemu na przeprowadzenie nieautoryzowanego ataku typu Server-Side Request Forgery (SSRF) przy użyciu `ENTITY_RESOLUTION_ALLOWLIST`. Wymaga to, aby GeoServer był skonfigurowany do używania adresu URL proxy bez ścieżki lub kończącego się ukośnikiem.
- CVE-2024-36401KrytyczneAktywnie exploitowane
GeoServer w wersjach przed 2.22.6, 2.23.6, 2.24.4 i 2.25.2 pozwala nieuwierzytelnionym użytkownikom na zdalne wykonanie kodu (RCE) poprzez specjalnie spreparowane żądania OGC. Podatność wynika z niebezpiecznego przekazywania nazw właściwości do biblioteki commons-jxpath, która wykonuje dowolny kod podczas oceny wyrażeń XPath. Problem dotyczy wszystkich instancji GeoServer, a exploitacja jest potwierdzona przez żądania WFS, WMS i WPS.
- CVE-2023-35042Krytyczne
GeoServer 2 w niektórych konfiguracjach pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą java.lang.Runtime.getRuntime().exec w wps:LiteralData w ramach żądania wps:Execute.
- CVE-2025-52465Wysokie
W GeoServer, przed wersjami 2.26.4 i 2.27.3, występuje podatność, która pozwala uwierzytelnionemu administratorowi na przekazywanie dowolnych nazw plików do strony Master Password Dump, co może prowadzić do utworzenia plików zawierających główne hasło w postaci niezaszyfrowanej.
Oryginalny opis (angielski, źródło NVD)
GeoServer is an open source server that allows users to share and edit geospatial data. From version 2.26.0 to before 2.26.2 and before 2.25.6, an XML External Entity (XXE) vulnerability was identified. The application accepts XML input through a specific endpoint /geoserver/wms operation GetMap. However, this input is not sufficiently sanitized or restricted, allowing an attacker to define external entities within the XML request. This issue has been patched in GeoServer 2.25.6, GeoServer 2.26.3, and GeoServer 2.27.0.