CVE-2026-42352

WysokieCVSS 8.6

Opublikowano: 08/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Pygeoapi w wersjach od 0.23.0 do 0.23.3 ma podatność, która pozwala na wykorzystanie obiektu subskrybenta do wysyłania żądań do wewnętrznych serwisów HTTP podczas wykonywania procesów OGC API. Problem został naprawiony w wersji 0.23.3.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do przeprowadzenia ataków SSRF, uzyskując dostęp do wewnętrznych zasobów sieciowych i potencjalnie wykradając dane.

Rekomendacja

Zaleca się aktualizację pygeoapi do wersji 0.23.3 lub nowszej.

Inne podatności w pygeoapi

CVE-2026-42351Wysokie
pygeoapi w wersjach od 0.23.0 do 0.23.2 zawiera podatność na konkatenację ścieżek w pluginie STAC FileSystemProvider. Brak normalizacji ścieżek może pozwolić na dostęp do katalogów bez uwierzytelnienia, gdy pygeoapi jest wdrożone bez proxy normalizującego adresy URL z '..'.

Oryginalny opis (angielski, źródło NVD)

pygeoapi is a Python server implementation of the OGC API suite of standards. From version 0.23.0 to before version 0.23.3, OGC API process execution requests can use the subscriber object to requests to internal HTTP services. This issue has been patched in version 0.23.3.