CVE-2026-58400

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 1.2%
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 3 Eylül 2026

GeoNetwork, mekansal olarak referanslı kaynakları yönetmek için kullanılan bir katalog uygulamasıdır. 4.4.12 ve 4.2.17 sürümlerinden önceki sürümlerde, formatlayıcıları oluşturmak için kullanılan Saxon XSLT işlemcisi, güvenli işleme (`FEATURE_SECURE_PROCESSING`) olmadan ve Java uzantı işlevlerini devre dışı bırakmadan (`ALLOW_EXTERNAL_FUNCTIONS`) yapılandırılmıştır. GeoNetwork tarafından yüklenen herhangi bir stylesheet, `java.lang.Runtime.exec()` veya `java.lang.ProcessBuilder`'ı doğrudan çağırabilmekte ve böylece GeoNetwork işlem kullanıcısı olarak keyfi komut çalıştırması gerçekleştirebilmektedir. Yeterli ayrıcalıklara sahip bir kullanıcı, keyfi OS komutlarını GeoNetwork işlem ayrıcalıklarıyla çalıştıran Java uzantı çağrısı içeren bir `.xsl` dosyasını yükleyerek bir formatlayıcı teslim edebilmektedir. Sorun, GeoNetwork 4.4.12 ve 4.2.17 sürümlerinde giderilmiştir.

Orijinal açıklama (İngilizce)

GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the Saxon XSLT processor used to render formatters is configured without secure processing (`FEATURE_SECURE_PROCESSING`) and without disabling Java extension functions (`ALLOW_EXTERNAL_FUNCTIONS`). Any stylesheet loaded by GeoNetwork can therefore invoke `java.lang.Runtime.exec()` or `java.lang.ProcessBuilder` directly, achieving arbitrary command execution as the GeoNetwork process user. A user with sufficient privileges to upload a formatter can deliver a `.xsl` file containing Java extension call that execute arbitrary OS commands with the privileges of the GeoNetwork process. The issue is patched in GeoNetwork versions 4.4.12 and 4.2.17.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.