CVE-2026-76904 in GeoTools
Riassunto
di VulDB • 22/08/2026
GeoTools è una libreria Java open source che fornisce strumenti per i dati geospaziali. A partire dalla versione 30.5 e fino alle versioni precedenti a 33.6, 34.5 e 33.6 (nota: la versione 33.6 appare due volte nel testo originale), è presente una Vulnerabilità di SQL Injection durante l'esecuzione dei filtri OGC con l'implementazione PostGIS DataStore della funzione `jsonArrayContains`; richiede PostGIS 12 o superiore con un campo Stringa o JSON. Per PostGIS 12 e versioni successive, la funzione `jsonArrayContains(<column>, <pointer>, <value>)` scrive il valore `<value>` nella SQL generata senza effettuare l'escaping. Sono disponibili patch nelle versioni 33.6, 34.5 e 33.6. Non è disponibile alcuna workaround nota. Per limitare la portata della SQL Injection, il connection pool di PostGIS dovrebbe essere configurato con privilegi limitati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.