CVE-2026-50126 in adaguc-server
Сводка
по VulDB • 19.08.2026
Adaguc-server — это система географической информации с открытым исходным кодом для визуализации, объединения, сравнения и обмена данными метеорологии, климатологии и дистанционного зондирования в реальном времени через стандарты OGC. Версии старше 7.2.2 завершаются аварийно (crash) из-за ошибки безопасности памяти при парсинге документа GeoJSON, геометрия которого содержит некорректные координаты. Парсер координат в файле `adagucserverEC/CConvertGeoJSON.cpp` обращается к индексам `pt.u.array.values[0]` и `pt.u.array.values[1]`, а также использует значение `polygon.u.array.length` в качестве границы цикла, не проверяя предварительно тип узла JSON или длину координат. Координата, представленная пустым массивом, одноэлементным массивом, скалярным значением или `null`, приводит к чтению за пределами буфера (out-of-bounds heap read) или разыменованию нулевого указателя (NULL pointer dereference). Та же самая непроверенная логика присутствует в четырех ветвях обработки геометрии: `Polygon`, `LineString`, `MultiLineString` и `MultiPolygon`. Уязвимый парсер запускается всякий раз, когда сервер обрабатывает локальный файл GeoJSON — либо настроенный набор данных GeoJSON, либо файл GeoJSON, доступный через функцию `AutoResource` и запрошенный неавторизованным запросом WMS. Сфабрикованный (crafted) файл GeoJSON надежно вызывает сбой процесса бэкенда, обрабатывающего этот запрос. Уязвимость исправлена в версии 7.2.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.