CVE-2026-76904 in GeoTools
Tóm tắt
Bởi VulDB • 21/08/2026
GeoTools là một thư viện Java mã nguồn mở cung cấp các công cụ cho dữ liệu địa không gian. Bắt đầu từ phiên bản 30.5 và trước các phiên bản 33.6, 34.5, và 33.6 (lưu ý: có sự trùng lặp/lỗi đánh máy trong văn bản gốc về số phiên bản), một lỗ hổng SQL Injection tồn tại khi thực thi OGC Filters với triển khai PostGIS DataStore: hàm `jsonArrayContains`. Yêu cầu sử dụng PostGIS 12 trở lên với trường String hoặc JSON. Đối với PostGIS 12 và các phiên bản cao hơn, hàm `jsonArrayContains(<column>, <pointer>, <value>)` ghi `<value>` vào SQL được tạo ra mà không thực hiện thoát ký tự (escaping). Các bản vá có sẵn trong các phiên bản 33.6, 34.5, và 33.6. Không có giải pháp khắc phục nào đã biết. Để hạn chế phạm vi của lỗ hổng SQL Injection, pool kết nối PostGIS nên được cấu hình với quyền hạn giới hạn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.