CVE-2024-23643 in GeoServer

الملخص

بحسب VulDB • 17/06/2026

يُعد GeoServer خادمًا مفتوح المصدر مكتوبًا بلغة Java، يتيح للمستخدمين مشاركة بياناتهم المكانية وتحريرها. توجد ثغرة تخزين عبر مواقع الويب (Stored XSS) في الإصدارات السابقة لـ 2.23.2 و 2.24.1، تتيح لمدير مُصادَق عليه يتمتع بصلاحيات على مستوى مساحة العمل (workspace) تخزين حمولة برمجية JavaScript في كتالوج GeoServer، بحيث يتم تنفيذها في سياق متصفح مدير آخر عند عرضها في نموذج بذر GWC (GWC Seed Form). يقتصر الوصول إلى نموذج بذر GWC افتراضيًا على المدراء الكاملين، ولا يُنصح بمنح المستخدمين غير الإداريين حق الوصول إلى هذه النقطة النهائية (endpoint). تحتوي الإصدارات 2.23.2 و 2.24.1 على إصلاح لهذه المشكلة.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: GitHub, Inc.
• حجز: 19/01/2024
• إفشاء: 20/03/2024
• الاعتدال: تمت الموافقة
• إدخال: VDB-257497
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 4.8 (NVD)
• EPSS: 0.00426
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-23643
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-23643
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-23643/