CVE-2026-63219
WysokieCVSS 8.6Streszczenie
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 punkt końcowy API do tworzenia nowego formatera przez upload pliku jest niechroniony i pozwala na przesyłanie zewnętrznych niekontrolowanych plików. Nieuwierzytelniony atakujący może przesłać dowolne pliki formattera .xsl lub .zip do katalogu formatterów GeoNetwork.
Ocena ryzyka
Nieuwierzytelniony atakujący może zapisywać dowolne pliki na serwerze, co stanowi nieautoryzowany zapis do magazynu serwera i może prowadzić do dalszych ataków, takich jak wykonanie kodu.
Rekomendacja
Zaktualizuj GeoNetwork do wersji 4.4.12 lub 4.2.17, które zawierają poprawkę zabezpieczającą punkt końcowy.
Inne podatności w GeoNetwork
Zobacz wszystkie- CVE-2026-58400Krytyczne
GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 procesor XSLT Saxon używany do renderowania formaterów jest skonfigurowany bez bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia funkcji rozszerzeń Javy (ALLOW_EXTERNAL_FUNCTIONS). Każdy arkusz stylów załadowany przez GeoNetwork może więc wywołać java.lang.Runtime.exec() lub java.lang.ProcessBuilder bezpośrednio, osiągając wykonanie dowolnych poleceń jako użytkownik procesu GeoNetwork. Użytkownik z wystarczającymi uprawnieniami do przesłania formatera może dostarczyć plik .xsl zawierający wywołania rozszerzeń Javy, które wykonują dowolne polecenia systemu operacyjnego z uprawnieniami procesu GeoNetwork. Problem jest naprawiony w wersjach GeoNetwork 4.4.12 i 4.2.17.
- CVE-2026-53573Średnie
Aplikacja GeoNetwork w wersjach od 3.12.0 do 4.2.16 i 4.4.11 zawiera podatność. Niebezpieczna walidacja przekierowań w filtrach GeonetworkOAuth2LoginAuthenticationFilter i KeycloakAuthenticationProcessingFilter pozwala na zewnętrzne przekierowanie po zalogowaniu kontrolowane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the API endpoint for creating a new formatter via file upload is unprotected and allows the upload of external uncontrolled files. An unauthenticated attacker can upload arbitrary `.xsl` or `.zip` formatter files to the server. An unauthenticated attacker can write arbitrary files into the GeoNetwork formatter directory. On its own this constitutes unauthorized write access to server storage. The issue is patched in GeoNetwork versions 4.4.12 and 4.2.17.