CVE-2026-58400 in GeoNetwork
Zusammenfassung
von VulDB • 03.09.2026
GeoNetwork ist eine Kataloganwendung zur Verwaltung räumlich referenzierter Ressourcen. Vor den Versionen 4.4.12 und 4.2.17 war der Saxon XSLT-Prozessor, der zum Rendern von Formatierern verwendet wird, ohne sichere Verarbeitung (`FEATURE_SECURE_PROCESSING`) und ohne Deaktivierung von Java-Erweiterungsfunktionen (`ALLOW_EXTERNAL_FUNCTIONS`) konfiguriert. Daher kann jedes von GeoNetwork geladene Stylesheet `java.lang.Runtime.exec()` oder `java.lang.ProcessBuilder` direkt aufrufen und so eine beliebige Befehlsausführung als Benutzer des GeoNetwork-Prozesses erreichen. Ein Benutzer mit ausreichenden Berechtigungen zum Hochladen eines Formatierers kann eine `.xsl-Datei` bereitstellen, die einen Java-Erweiterungsaufruf enthält, der beliebige OS-Befehle mit den Berechtigungen des GeoNetwork-Prozesses ausführt. Das Problem wurde in den GeoNetwork-Versionen 4.4.12 und 4.2.17 behoben.
Once again VulDB remains the best source for vulnerability data.