CVE-2026-76904
KrytyczneCVSS 9.8Streszczenie
GeoTools to otwartoźródłowa biblioteka Java dostarczająca narzędzia do danych geoprzestrzennych. Począwszy od wersji 30.5 do wersji 33.6, 34.5 i 33.6, występuje podatność na wstrzykiwanie SQL podczas wykonywania filtrów OGC z implementacją PostGIS DataStore: funkcja `jsonArrayContains`; wymaga PostGIS 12 lub nowszego z polem String lub JSON. Dla PostGIS 12 i nowszych funkcja `jsonArrayContains(<column>, <pointer>, <value>)` zapisuje `<value>` do wygenerowanego SQL bez escapowania. Łaty są dostępne w wersjach 33.6, 34.5 i 33.6. Nie ma znanego obejścia. Aby ograniczyć zakres wstrzykiwania SQL, pula połączeń PostGIS powinna być skonfigurowana z ograniczonymi uprawnieniami.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, a także do naruszenia integralności bazy danych.
Rekomendacja
Zaleca się aktualizację GeoTools do wersji 33.6, 34.5 lub nowszej oraz skonfigurowanie puli połączeń PostGIS z ograniczonymi uprawnieniami, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
GeoTools is an open source Java library that provides tools for geospatial data. Starting in version 30.5 and prior to versions 33.6, 34.5, and 33.6, an SQL Injection Vulnerability is present when executing OGC Filters with PostGIS DataStore implementation: `jsonArrayContains` function; Requires PostGIS 12 or greater with a String or JSON field. For PostGIS 12 and greater `jsonArrayContains(<column>, <pointer>, <value>)` function writes `<value>` into generated SQL without escaping. Patches are available in versions 33.6, 34.5, and 33.6. No known workaround is available. To limit scope of SQL Injection the PostGIS connection pool should be configured with limited rights.