CVE-2026-46487
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W GeoNetwork od wersji 4.0.0-alpha.1 do 4.2.16 i 4.4.11 proxy wyszukiwania oparte na Elasticsearch może pominąć wstrzykiwanie filtra kontroli dostępu GeoNetwork, gdy żądanie klienta ma pominięte pole zapytania. Żądanie jest wtedy przekazywane do Elasticsearch bez widoczności grup, wykluczenia szkiców, własności rekordów ani filtrowania specyficznego dla portalu, co pozwala nieuwierzytelnionemu zdalnemu atakującemu pobrać pełną indeksowaną zawartość metadanych, które nie powinny być publicznie widoczne.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do metadanych, które powinny być chronione, co stanowi naruszenie poufności i może ujawnić informacje wrażliwe. Dotyczy publicznego API wyszukiwania.
Rekomendacja
Zaktualizuj GeoNetwork do wersji 4.2.16 lub 4.4.11 bądź nowszej; do czasu aktualizacji rozważ ograniczenie dostępu do publicznego API wyszukiwania.
Inne podatności w GeoNetwork
Zobacz wszystkie- CVE-2026-58400Krytyczne
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 procesor XSLT Saxon używany do renderowania formaterów jest skonfigurowany bez bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia funkcji rozszerzeń Javy (ALLOW_EXTERNAL_FUNCTIONS). Każdy arkusz stylów załadowany przez GeoNetwork może więc wywołać java.lang.Runtime.exec() lub java.lang.ProcessBuilder bezpośrednio, osiągając wykonanie dowolnych poleceń jako użytkownik procesu GeoNetwork. Użytkownik z wystarczającymi uprawnieniami do przesłania formatera może dostarczyć plik .xsl zawierający wywołania rozszerzeń Javy, które wykonują dowolne polecenia systemu operacyjnego z uprawnieniami procesu GeoNetwork. Problem jest naprawiony w wersjach GeoNetwork 4.4.12 i 4.2.17.
- CVE-2026-39379Wysokie
W GeoNetwork od wersji 3.0.0 do 4.2.15 i 4.4.10 żądanie nieistniejącego lub nieautoryzowanego URL usługi może spowodować, że strona błędu odzwierciedli kontrolowaną przez atakującego treść żądania wewnątrz aplikacji AngularJS bez odpowiedniej neutralizacji dla ewaluacji szablonu. Zdalny atakujący może nakłonić ofiarę, w tym administratora, do otwarcia spreparowanego linku, aby odzwierciedlona wartość została oceniona jako wyrażenie szablonu AngularJS, co w połączeniu ze znanymi technikami ucieczki z sandboxa AngularJS może wykonać dowolny JavaScript w uwierzytelnionej sesji przeglądarki ofiary.
- CVE-2026-55864Wysokie
W GeoNetwork przed wersjami 4.2.17 i 4.4.12 punkt końcowy POST /api/tools/ogc/sld przyjmował adres URL serwera WMS podany przez wywołującego i wykonywał po stronie serwera żądanie HTTP GET bez walidacji celu. Anonimowy atakujący mógł wymusić na serwerze GeoNetwork żądania do wewnętrznych hostów nieosiągalnych publicznie. Gdy odpowiedź była w formacie XML, punkt końcowy mógł zapisać i zwrócić pobraną treść.
- CVE-2026-63219Wysokie
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 punkt końcowy API do tworzenia nowego formatera przez upload pliku jest niechroniony i pozwala na przesyłanie zewnętrznych niekontrolowanych plików. Nieuwierzytelniony atakujący może przesłać dowolne pliki formattera .xsl lub .zip do katalogu formatterów GeoNetwork.
- CVE-2026-53573Średnie
Aplikacja GeoNetwork w wersjach od 3.12.0 do 4.2.16 i 4.4.11 zawiera podatność. Niebezpieczna walidacja przekierowań w filtrach GeonetworkOAuth2LoginAuthenticationFilter i KeycloakAuthenticationProcessingFilter pozwala na zewnętrzne przekierowanie po zalogowaniu kontrolowane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
GeoNetwork is a catalog application to manage spatially referenced resources. From 4.0.0-alpha.1 until 4.2.16 and 4.4.11, the Elasticsearch-backed search proxy can skip GeoNetwork's access-control filter injection when a client request has an omitted query field. The request is then forwarded to Elasticsearch without group visibility, draft exclusion, record ownership, or portal-specific filtering. An unauthenticated remote attacker can use the affected public search API to retrieve the full indexed contents of metadata records that should not be publicly visible. This issue is fixed in versions 4.2.16 and 4.4.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS