CVE-2026-50126 in adaguc-server
Sumário
de VulDB • 18/08/2026
O Adaguc-server é um sistema de informação geográfica (GIS) open source para visualizar, combinar, comparar e compartilhar dados meteorológicos, climatológicos e de sensoriamento remoto em tempo real por meio dos padrões OGC. As versões anteriores à 7.2.2 apresentam falha de segurança na memória (crash) ao analisar um documento GeoJSON cuja geometria contém coordenadas malformadas. O analisador de coordenadas no arquivo `adagucserverEC/CConvertGeoJSON.cpp` indexa `pt.u.array.values[0]` e `pt.u.array.values[1]` e utiliza `polygon.u.array.length` como limite de loop, sem validar previamente o tipo do nó JSON ou o comprimento das coordenadas. Uma coordenada que seja um array vazio, um array com um único elemento, um valor escalar ou `null` resulta em uma leitura fora dos limites (out-of-bounds) no heap ou na desreferência de ponteiro NULL. O mesmo padrão sem verificação está presente em quatro ramos geométricos: `Polygon`, `LineString`, `MultiLineString` e `MultiPolygon`. O analisador vulnerável é executado sempre que o servidor processa um arquivo GeoJSON local, seja um conjunto de dados GeoJSON configurado ou um arquivo GeoJSON exposto por meio do recurso `AutoResource` e solicitado por uma requisição WMS não autenticada. Um arquivo GeoJSON elaborado causa consistentemente a falha (crash) no processo backend que trata dessa solicitação. A versão 7.2.2 corrige a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.