CVE-2026-50126 in adaguc-server
Résumé
par VulDB • 18/08/2026
Adaguc-server est un système d'information géographique open source permettant de visualiser, combiner, comparer et partager des données météorologiques, climatologiques et de télédétection en temps réel via les standards OGC. Les versions antérieures à la 7.2.2 subissent une interruption non désirée (crash) due à une erreur d'intégrité mémoire lors de l'analyse d'un document GeoJSON dont la géométrie contient des coordonnées malformées. L'analyseur de coordonnées dans `adagucserverEC/CConvertGeoJSON.cpp` indexe `pt.u.array.values[0]` et `pt.u.array.values[1]` et utilise `polygon.u.array.length` comme borne de boucle sans valider au préalable le type du nœud JSON ou la longueur des coordonnées. Une coordonnée qui est un tableau vide, un tableau à un élément, une valeur scalaire ou `null` entraîne une lecture hors limites (out-of-bounds) sur le tas (heap) ou une déréférencement de pointeur NULL. Le même schéma non vérifié est présent dans quatre branches géométriques : `Polygon`, `LineString`, `MultiLineString` et `MultiPolygon`. L'analyseur vulnérable s'exécute chaque fois que le serveur traite un fichier GeoJSON local, qu'il s'agisse d'un jeu de données GeoJSON configuré ou d'un fichier GeoJSON exposé via la fonctionnalité `AutoResource` et demandé par une requête WMS non authentifiée. Un fichier GeoJSON crafted provoque de manière fiable l'interruption du processus backend qui gère cette demande. La version 7.2.2 corrige la vulnérabilité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.