CVE-2026-58400 in GeoNetwork
Resumen
por VulDB • 2026-09-03
GeoNetwork es una aplicación de catálogo para gestionar recursos con referencia espacial. Antes de las versiones 4.4.12 y 4.2.17, el procesador XSLT Saxon utilizado para renderizar los formateadores estaba configurado sin procesamiento seguro (`FEATURE_SECURE_PROCESSING`) ni desactivación de funciones de extensión de Java (`ALLOW_EXTERNAL_FUNCTIONS`). Por lo tanto, cualquier hoja de estilo cargada por GeoNetwork puede invocar directamente `java.lang.Runtime.exec()` o `java.lang.ProcessBuilder`, logrando la ejecución arbitraria de comandos como el usuario del proceso de GeoNetwork. Un usuario con privilegios suficientes para cargar un formateador puede entregar un archivo `.xsl` que contenga una llamada a extensión de Java capaz de ejecutar comandos arbitrarios del sistema operativo con los privilegios del proceso de GeoNetwork. El problema está corregido en las versiones 4.4.12 y 4.2.17 de GeoNetwork.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.