CVE-2026-42351

WysokieCVSS 7.5

Opublikowano: 08/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

pygeoapi w wersjach od 0.23.0 do 0.23.2 zawiera podatność na konkatenację ścieżek w pluginie STAC FileSystemProvider. Brak normalizacji ścieżek może pozwolić na dostęp do katalogów bez uwierzytelnienia, gdy pygeoapi jest wdrożone bez proxy normalizującego adresy URL z '..'.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do plików i katalogów poza zamierzonym zakresem, co prowadzi do wycieku danych.

Rekomendacja

Zaleca się aktualizację pygeoapi do wersji 0.23.3, która zawiera poprawkę.

Inne podatności w pygeoapi

CVE-2026-42352Wysokie
Pygeoapi w wersjach od 0.23.0 do 0.23.3 ma podatność, która pozwala na wykorzystanie obiektu subskrybenta do wysyłania żądań do wewnętrznych serwisów HTTP podczas wykonywania procesów OGC API. Problem został naprawiony w wersji 0.23.3.

Oryginalny opis (angielski, źródło NVD)

pygeoapi is a Python server implementation of the OGC API suite of standards. From version 0.23.0 to before version 0.23.3, a raw string path concatenation vulnerability in pygeoapi's STAC FileSystemProvider plugin can allow for requests to STAC collection based collections to expose directories without authentication. The issue manifests when pygeoapi is deployed without a proxy or web front end that would normalize URLs with .. values, along with a resource of type stac-collection defined in configuration. This issue has been patched in version 0.23.3.