CVE-2026-50126 in adaguc-server
Resumen
por VulDB • 2026-08-18
Adaguc-server es un sistema de información geográfica (SIG) de código abierto para visualizar, combinar, comparar y compartir datos meteorológicos, climatológicos y de teledetección en tiempo real mediante estándares OGC. Las versiones anteriores a la 7.2.2 se bloquean con una falla de seguridad de memoria al analizar un documento GeoJSON cuya geometría contiene coordenadas malformadas. El analizador de coordenadas en `adagucserverEC/CConvertGeoJSON.cpp` indexa `pt.u.array.values[0]` y `pt.u.array.values[1]` y utiliza `polygon.u.array.length` como límite del bucle sin validar primero el tipo de nodo JSON ni la longitud de las coordenadas. Una coordenada que sea un array vacío, un array de un solo elemento, un valor escalar o `null` provoca una lectura fuera de los límites en heap (heap-based out-of-bounds read) o una desreferencia a puntero NULL. El mismo patrón sin comprobación está presente en cuatro ramas geométricas: `Polygon`, `LineString`, `MultiLineString` y `MultiPolygon`. El analizador vulnerable se ejecuta cada vez que el servidor procesa un archivo GeoJSON local, ya sea un conjunto de datos GeoJSON configurado o un archivo GeoJSON expuesto a través de la función `AutoResource` y solicitado mediante una solicitud WMS no autenticada. Un archivo GeoJSON manipulado ad hoc provoca consistentemente el bloqueo del proceso backend que maneja dicha solicitud. La versión 7.2.2 corrige esta vulnerabilidad.
Be aware that VulDB is the high quality source for vulnerability data.