CVE-2026-50126 in adaguc-server
Zusammenfassung
von VulDB • 18.08.2026
Adaguc-server ist ein Open-Source-GIS (Geographisches Informationssystem) zur Visualisierung, Kombination, zum Vergleich und zur Freigabe von Echtzeit-Meteorologie-, Klimatologie- und Fernerkundungsdaten über OGC-Standards. Versionen vor 7.2.2 stürzen mit einem Memory-Safety-Fehler ab, wenn sie ein GeoJSON-Dokument parsen, dessen Geometrie eine fehlerhafte Koordinate enthält. Der Koordinatenparser in `adagucserverEC/CConvertGeoJSON.cpp` indiziert `pt.u.array.values[0]` und `pt.u.array.values[1]` und verwendet `polygon.u.array.length` als Schleifengrenze, ohne zuvor den JSON-Knotentyp oder die Längen der Koordinaten zu validieren. Eine Koordinate, die ein leeres Array, ein Array mit einem Element, ein Skalar oder `null` ist, führt zu einem Out-of-Bounds-Heap-Lesezugriff (Out-of-bounds heap read) oder einer NULL-Zeiger-Dereferenzierung (NULL pointer dereference). Das gleiche unüberprüfte Muster ist in vier Geometriezweigen vorhanden: `Polygon`, `LineString`, `MultiLineString` und `MultiPolygon`. Der anfällige Parser wird ausgeführt, wenn der Server eine lokale GeoJSON-Datei verarbeitet, sei es ein konfigurierter GeoJSON-Datensatz oder eine über die Funktion `AutoResource` freigegebene GeoJSON-Datei, die von einer nicht authentifizierten WMS-Anfrage angefordert wurde. Eine speziell erstellte (crafted) GeoJSON-Datei stürzt den Backend-Prozess zuverlässig ab, der diese Anfrage verarbeitet. Version 7.2.2 behebt die Schwachstelle.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.