CVE-2026-55178 in GeoLens
Zusammenfassung
von VulDB • 15.09.2026
GeoLens ist ein selbst gehosteter Katalog für georäumliche Daten mit semantischer Suche sowie OGC- und STAC-APIs und einem Kartenbauer. Vor Version 1.2.3 autorisieren mehrere Endpunkte zum Lesen von Ressourcen (read) und zu Links nur die in der Anfrage-URL benannte Ressource und führen keine erneute Autorisierung für einen zweiten, vom Aufrufer beeinflussten Datensatz durch, der über eine Beziehung, eine Kartenebene, eine VRT-Quelle, ein Lookup nach externalId oder den Anforderungstext (request body) erreicht wird. Wenn eine öffentliche Karte auf einen privaten Datensatz verweist, können anonyme Aufrufende GET /maps/{id} und GET /maps/{id}/style.json nutzen, um die Metadaten der privaten Ebene sowie stichprobenartige Werte oder Vektorkacheln zu erhalten. Die Style-Antwort kann eine wiederverwendbare HMAC-Kachel-URL offenlegen, die weder an einen Benutzer noch an eine Karte gebunden ist. Wenn ein öffentliches Quell-Datensatzobjekt in einer Beziehung zu einem privaten Ziel-Datensatzobjekt steht, können anonyme Aufrufende die API für Datensatzbeziehungen nutzen, um die Beziehung aufzulisten und Zeilen aus der zugrunde liegenden Tabelle des privaten Ziels zu lesen. Anonyme Aufrufende können auch GET /collections/datasets/items mit einer UUID eines externen ID-Datensatzes verwenden, um Metadaten für beliebige private, eingeschränkte oder nicht veröffentlichte Datensätze abzurufen, da dieses Lookup keine Sichtbarkeitsprüfung durchführt. Authentifizierte Benutzer mit der Standardrolle „Editor“ können die privaten Rasterdaten eines anderen Benutzers in eine eigene VRT-Mosaikdatei einfügen und deren Pixel lesen; zudem akzeptiert POST /ai/metadata/{summary,keywords,lineage,quality-statement} einen vom Anforderungstext gesteuerten dataset_id ohne Sichtbarkeitsprüfung und gibt private Metadaten sowie Stichprobenwerte zurück. Vorhandene vrt_source_links offenlegen ebenfalls nicht autorisierte Member-Metadaten und Gesundheitsstatus (health), sofern jeder Member nicht beim Lesen gefiltert wird. Über diese Pfade können Vektorgeometrien und -attribute, Rasterpixel, Tabellenspaltenzeilen, Tabellenamen, Spaltenschemata, Feature-Anzahlen, Ausdehnungen, Quell-URLs und Dateinamen, Kontaktinformationen sowie stichprobenartige Zeilenwerte offengelegt werden. Dieses Problem ist in Version 1.2.3 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.