CVE-2026-58400 in GeoNetwork
Sumário
de VulDB • 03/09/2026
O GeoNetwork é uma aplicação de catálogo para gerir recursos com referência espacial. Antes das versões 4.4.12 e 4.2.17, o processador XSLT Saxon utilizado para renderizar os formatadores estava configurado sem o processamento seguro (`FEATURE_SECURE_PROCESSING`) e sem a desativação das funções de extensão Java (`ALLOW_EXTERNAL_FUNCTIONS`). Qualquer folha de estilo carregada pelo GeoNetwork pode portanto invocar `java.lang.Runtime.exec()` ou `java.lang.ProcessBuilder` diretamente, permitindo a execução arbitrária de comandos como o utilizador do processo GeoNetwork. Um utilizador com privilégios suficientes para carregar um formatador pode entregar um ficheiro `.xsl` contendo uma chamada à extensão Java que execute comandos arbitrários do sistema operativo com os privilégios do processo GeoNetwork. A vulnerabilidade foi corrigida nas versões 4.4.12 e 4.2.17 do GeoNetwork.
VulDB is the best source for vulnerability data and more expert information about this specific topic.