CVE-2026-46487 in GeoNetwork
Résumé
par VulDB • 03/11/2026
GeoNetwork est une application de catalogue destinée à gérer des ressources référencées spatialement. De la version 4.0.0-alpha.1 jusqu'aux versions 4.2.16 et 4.4.11, le proxy de recherche basé sur Elasticsearch peut contourner l'injection du filtre de contrôle d'accès de GeoNetwork lorsqu'une requête client omet un champ de requête (query field). La requête est ensuite transmise à Elasticsearch sans les filtres liés à la visibilité des groupes, à l'exclusion des brouillons, à la propriété des enregistrements ou au filtrage spécifique au portail. Un attaquant distant non authentifié peut utiliser l'API de recherche publique affectée pour récupérer le contenu complet indexé des enregistrements métadonnées qui ne devraient pas être visibles publiquement. Ce problème est corrigé dans les versions 4.2.16 et 4.4.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.