CVE-2026-55178

GeoLens; semantik arama, OGC ve STAC API'leri ile bir harita oluşturucuya sahip, kendi sunucunuzda barındırılabilen bir coğrafi veri kataloğudur. 1.2.3 sürümünden önce, birden fazla okuma ve bağlantı uç noktası yalnızca istek URL'sinde belirtilen kaynağı yetkilendirmekte ve bir ilişki, harita katmanı, VRT kaynağı, externalId araması veya istek gövdesi aracılığıyla ulaşılan çağırıcı etkili ikinci bir veri kümesini yeniden yetkilendirmede başarısız olmaktadır. Genel bir harita özel bir veri kümesine referans verdiğinde, anonim çağırıcılar özel katmanın meta verilerini, örneklenmiş değerlerini veya vektör karolarını elde etmek için GET /maps/{id} ve GET /maps/{id}/style.json uç noktalarını kullanabilir. Stil yanıtı, ne bir kullanıcıya ne de bir haritaya bağlı olan, tekrar oynatılabilir bir HMAC karo URL'sini ifşa edebilir. Genel bir kaynak veri kümesinin özel bir hedef veri kümesiyle ilişkisi olduğunda, anonim çağırıcılar ilişkiyi numaralandırmak ve özel hedefin destekleyici tablosundan satırlar okumak için veri kümesi ilişkisi API'lerini kullanabilir. Anonim çağırıcılar ayrıca, görünürlük kontrolü gerçekleştirmediği için herhangi bir özel, kısıtlı veya yayınlanmamış veri kümesinin meta verilerini elde etmek amacıyla externalId veri kümesi UUID'si ile GET /collections/datasets/items uç noktasını kullanabilir. Varsayılan editör rolüne sahip kimliği doğrulanmış kullanıcılar, başka bir kullanıcının özel raster verisini sahipliğindeki bir VRT içinde mozaikleyerek piksellerini okuyabilir ve POST /ai/metadata/{summary,keywords,lineage,quality-statement} uç noktası, görünürlük kontrolü yapmadan gövde tarafından kontrol edilen bir dataset_id kabul ederek özel meta verileri ve örnek değerler döndürür. Mevcut vrt_source_links, her bir üye okuma sırasında filtrelenmedikçe yetkisiz üye meta verilerini ve sağlık durumunu da ifşa eder. Bu yollar; vektör geometrilerini ve öznitelikleri, raster piksellerini, tablo satırlarını, tablo adlarını, sütun şemalarını, özellik sayılarını, kapsamları, kaynak URL'lerini ve dosya adlarını, kişileri ve örneklenmiş satır değerlerini açığa çıkarabilir. Bu sorun 1.2.3 sürümünde düzeltilmiştir.