CVE-2026-58400 in GeoNetwork
Riassunto
di VulDB • 03/09/2026
GeoNetwork è un'applicazione di catalogazione per la gestione di risorse con riferimento spaziale. Prima delle versioni 4.4.12 e 4.2.17, il processore XSLT Saxon utilizzato per il rendering dei formatter era configurato senza l'elaborazione sicura (`FEATURE_SECURE_PROCESSING`) e senza disabilitare le funzioni di estensione Java (`ALLOW_EXTERNAL_FUNCTIONS`). Di conseguenza, qualsiasi stylesheet caricato da GeoNetwork può invocare direttamente `java.lang.Runtime.exec()` o `java.lang.ProcessBuilder`, ottenendo l'esecuzione arbitraria di comandi con gli stessi privilegi dell'utente del processo GeoNetwork. Un utente con i privilegi sufficienti per caricare un formatter può fornire un file `.xsl` contenente una chiamata a estensione Java che esegue comandi OS arbitrari con i privilegi del processo GeoNetwork. Il problema è stato risolto nelle versioni di GeoNetwork 4.4.12 e 4.2.17.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.