CVE-2026-39379
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W GeoNetwork od wersji 3.0.0 do 4.2.15 i 4.4.10 żądanie nieistniejącego lub nieautoryzowanego URL usługi może spowodować, że strona błędu odzwierciedli kontrolowaną przez atakującego treść żądania wewnątrz aplikacji AngularJS bez odpowiedniej neutralizacji dla ewaluacji szablonu. Zdalny atakujący może nakłonić ofiarę, w tym administratora, do otwarcia spreparowanego linku, aby odzwierciedlona wartość została oceniona jako wyrażenie szablonu AngularJS, co w połączeniu ze znanymi technikami ucieczki z sandboxa AngularJS może wykonać dowolny JavaScript w uwierzytelnionej sesji przeglądarki ofiary.
Ocena ryzyka
Możliwe wykonanie dowolnego JavaScriptu w uwierzytelnionej sesji ofiary, ujawnienie informacji lub wykonanie działań w imieniu ofiary, w tym administratora. Wymaga interakcji użytkownika z spreparowanym linkiem.
Rekomendacja
Zaktualizuj GeoNetwork do wersji 4.2.15 lub 4.4.10 bądź nowszej oraz poinformuj użytkowników o ryzyku otwierania nieznanych linków do instancji GeoNetwork.
Inne podatności w GeoNetwork
Zobacz wszystkie- CVE-2026-58400Krytyczne
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 procesor XSLT Saxon używany do renderowania formaterów jest skonfigurowany bez bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia funkcji rozszerzeń Javy (ALLOW_EXTERNAL_FUNCTIONS). Każdy arkusz stylów załadowany przez GeoNetwork może więc wywołać java.lang.Runtime.exec() lub java.lang.ProcessBuilder bezpośrednio, osiągając wykonanie dowolnych poleceń jako użytkownik procesu GeoNetwork. Użytkownik z wystarczającymi uprawnieniami do przesłania formatera może dostarczyć plik .xsl zawierający wywołania rozszerzeń Javy, które wykonują dowolne polecenia systemu operacyjnego z uprawnieniami procesu GeoNetwork. Problem jest naprawiony w wersjach GeoNetwork 4.4.12 i 4.2.17.
- CVE-2026-46487Wysokie
W GeoNetwork od wersji 4.0.0-alpha.1 do 4.2.16 i 4.4.11 proxy wyszukiwania oparte na Elasticsearch może pominąć wstrzykiwanie filtra kontroli dostępu GeoNetwork, gdy żądanie klienta ma pominięte pole zapytania. Żądanie jest wtedy przekazywane do Elasticsearch bez widoczności grup, wykluczenia szkiców, własności rekordów ani filtrowania specyficznego dla portalu, co pozwala nieuwierzytelnionemu zdalnemu atakującemu pobrać pełną indeksowaną zawartość metadanych, które nie powinny być publicznie widoczne.
- CVE-2026-55864Wysokie
W GeoNetwork przed wersjami 4.2.17 i 4.4.12 punkt końcowy POST /api/tools/ogc/sld przyjmował adres URL serwera WMS podany przez wywołującego i wykonywał po stronie serwera żądanie HTTP GET bez walidacji celu. Anonimowy atakujący mógł wymusić na serwerze GeoNetwork żądania do wewnętrznych hostów nieosiągalnych publicznie. Gdy odpowiedź była w formacie XML, punkt końcowy mógł zapisać i zwrócić pobraną treść.
- CVE-2026-63219Wysokie
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 punkt końcowy API do tworzenia nowego formatera przez upload pliku jest niechroniony i pozwala na przesyłanie zewnętrznych niekontrolowanych plików. Nieuwierzytelniony atakujący może przesłać dowolne pliki formattera .xsl lub .zip do katalogu formatterów GeoNetwork.
- CVE-2026-53573Średnie
Aplikacja GeoNetwork w wersjach od 3.12.0 do 4.2.16 i 4.4.11 zawiera podatność. Niebezpieczna walidacja przekierowań w filtrach GeonetworkOAuth2LoginAuthenticationFilter i KeycloakAuthenticationProcessingFilter pozwala na zewnętrzne przekierowanie po zalogowaniu kontrolowane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
GeoNetwork is a catalog application to manage spatially referenced resources. From 3.0.0 until 4.2.15 and 4.4.10, requesting a nonexistent or unauthorized service URL can cause an error page to reflect attacker-controlled request content inside an AngularJS application without adequately neutralizing it for template evaluation. A remote attacker can induce a victim, including an administrator, to open a crafted link so the reflected value is evaluated as an AngularJS template expression. Combined with known AngularJS sandbox-escape techniques, this can execute arbitrary JavaScript in the victim's authenticated browser session, disclose information, or perform actions as the victim. This issue is fixed in versions 4.2.15 and 4.4.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS