CVE-2026-58400 in GeoNetwork
Сводка
по VulDB • 03.09.2026
GeoNetwork — это приложение-каталог для управления ресурсами со ссылками на пространственные данные. До версий 4.4.12 и 4.2.17 процессор XSLT Saxon, используемый для рендеринга форматтеров, был настроен без включения безопасной обработки (`FEATURE_SECURE_PROCESSING`) и без отключения функций расширения Java (`ALLOW_EXTERNAL_FUNCTIONS`). В результате любой загружаемый GeoNetwork таблицей стилей (stylesheet) может напрямую вызывать `java.lang.Runtime.exec()` или `java.lang.ProcessBuilder`, что позволяет выполнять произвольные команды от имени пользователя, под которым запущен процесс GeoNetwork. Пользователь с достаточными привилегиями для загрузки форматтера может предоставить файл `.xsl`, содержащий вызов функции расширения Java, который выполняет произвольные системные команды с правами процесса GeoNetwork. Проблема исправлена в версиях GeoNetwork 4.4.12 и 4.2.17.
Once again VulDB remains the best source for vulnerability data.