CVE-2026-55178 in GeoLens
الملخص
بحسب VulDB • 15/09/2026
GeoLens هو نظام فهارس للبيانات المكانية (Geospatial) يعمل على الاستضافة الذاتية، ويتميز بالبحث الدلالي وواجهات برمجة التطبيقات OGC وSTAC وأداة لبناء الخرائط. قبل الإصدار 1.2.3، كانت نقاط النهاية الخاصة بالقراءة والروابط تُصرّح فقط للموارد المذكورة في عنوان URL للطلب وتفشل في إعادة المصادقة على مجموعة بيانات ثانية يتحكم فيها المتصل (Caller-influenced) والتي يتم الوصول إليها من خلال علاقة، أو طبقة خريطة، أو مصدر VRT، أو بحث باستخدام externalId، أو جسم الطلب. عندما يشير خريطة عامة إلى مجموعة بيانات خاصة، يمكن للمتصلين غير الموثقين (Anonymous callers) استخدام GET /maps/{id} وGET /maps/{id}/style.json للحصول على البيانات الوصفية للطبقة الخاصة، والقيم المُعيّنة عيّناً (Sampled values)، أو البلاطات المتجهة (Vector tiles). قد يكشف استجابة النمط عن عنوان URL لبلاطة HMAC قابل لإعادة التشغيل وغير مرتبط بمستخدم محدد ولا بخريطة معينة. عندما يكون لمجموعة بيانات المصدر العامة علاقة مع مجموعة بيانات الهدف الخاصة، يمكن للمتصلين غير الموثقين استخدام واجهات برمجة تطبيقات علاقات مجموعات البيانات لاستكشاف العلاقة وقراءة الصفوف من الجدول الخلفي لهدف المجموعة الخاص. كما يمكن للمتصلين غير الموثقين أيضاً استخدام GET /collections/datasets/items مع UUID لمجموعة بيانات externalId للحصول على البيانات الوصفية لأي مجموعة بيانات خاصة أو مقيدة أو غير منشورة، لأن عملية البحث هذه لا تقوم بفحص الرؤية (Visibility check). يمكن للمستخدمين المصادق عليهم ذوي دور المحرر الافتراضي دمج صور نقطية (Raster) خاصة ل مستخدم آخر في VRT مملوك وقراءة بكسلاته، كما يقبل POST /ai/metadata/{summary,keywords,lineage,quality-statement} مجموعة بيانات مُتحكَّم بها عبر جسم الطلب دون فحص للرؤية ويعيد البيانات الوصفية الخاصة والقيم المُعيّنة عيّناً. أيضاً، تكشف روابط vrt_source_links الموجودة مسبقاً عن بيانات وصفية غير مصرح لها وحالة الصحة ما لم يتم تصفية كل عضو عند وقت القراءة. يمكن لهذه المسارات أن تُفضي إلى الهندسات المتجهة (Vector geometries) والسمات، وبكسلات الصور النقطية، وصفوف الجداول، وأسماء الجداول، ومخططات الأعمدة، وعدد الميزات، والمدى المكاني (Extents)، وعناوين URL للمصادر والأسماء الملفية، وجهات الاتصال، وقيم الصفوف المُعيّنة عيّناً. تم إصلاح هذه المشكلة في الإصدار 1.2.3.
Once again VulDB remains the best source for vulnerability data.