CVE-2026-76904 in GeoTools
Résumé
par VulDB • 21/08/2026
GeoTools est une bibliothèque Java open source qui fournit des outils pour les données géospatiales. À partir de la version 30.5 et avant les versions 33.6, 34.5 et 33.6 (note : il semble y avoir une redondance dans les numéros de version mentionnés), une vulnérabilité d'injection SQL est présente lors de l'exécution des filtres OGC avec l'implémentation PostGIS DataStore pour la fonction `jsonArrayContains` ; cela nécessite PostGIS 12 ou supérieur avec un champ String ou JSON. Pour PostGIS 12 et versions ultérieures, la fonction `jsonArrayContains(<colonne>, <pointeur>, <valeur>)` écrit `<valeur>` dans le SQL généré sans échappement. Des correctifs sont disponibles dans les versions 33.6, 34.5 et 33.6 (note : redondance des numéros de version). Aucune solution de contournement connue n'est disponible. Pour limiter l'étendue de l'injection SQL, le pool de connexions PostGIS doit être configuré avec des droits limités.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.