CVE-2026-55864
Təsvir
GeoNetwork məkan referanslı resursları idarə etmək üçün kataloq tətbiqidir. 4.2.17 və 4.4.12 versiyalarından əvvəl, POST /api/tools/ogc/sld çağırıcı tərəfindən təqdim edilən WMS server URL-ni qəbul edir və təyinat nöqtəsinin yoxlanılması olmadan server tərəfli HTTP GET sorğusu yerinə yetirirdi. Anonim hücumçu GeoNetwork serverini ictimaiyyətə açıq olmayan daxili hostlara sorğular göndərməyə məcbur edə bilərdi. Çıxan cavab XML olduqda, son nöqtə əldə edilmiş gövdəni saxlaya və qaytara bildiyi üçün sorğu saxtakarlığı (request forgery) "non-blind" xarakter alırdı və bu da daxili məlumatların ifşasına, avtorizasiyadan yan keçməyə və şəbəkə kəşfiyyatına imkan yaradırdı. Bu problem 4.2.17 və 4.4.12 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- org.geonetwork-opensource:gn-web-app4.4.12, 4.2.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.geonetwork-opensource:gn-web-appMaven | 4.4.0 ≤ v < 4.4.12, 4.0.0 ≤ v < 4.2.17 | 4.4.12, 4.2.17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.