CVE-2026-110748
Niskie ryzyko· EPSS 5%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Apache SIS w wersjach od 0.7 do 1.6 otwiera pliki, do których odwołują się przetwarzane dane, niezależnie od ich ścieżki, co może pozwolić na wskazanie pliku lokalnego. Dotyczy to formatów GML z atrybutami xlink:href, WKT z elementami parametrów siatek przesunięć datum oraz scen Landsat z ścieżkami do plików GeoTIFF. Odczyt zatrzymuje się na pierwszym błędzie parsowania, co czyni wyciek danych mało prawdopodobnym.
Ocena ryzyka
Ryzyko wycieku poufnych informacji jest niskie ze względu na ograniczenia formatów i zatrzymanie odczytu przy błędzie. Mimo to niekontrolowany dostęp do plików lokalnych może naruszać polityki bezpieczeństwa.
Rekomendacja
Zaktualizuj Apache SIS do wersji 1.7, która ogranicza ścieżki do katalogu pliku źródłowego lub ustalonego katalogu siatek przesunięć. Unikaj przetwarzania niezaufanych plików danych do czasu aktualizacji.
Inne podatności w Apache SIS
Zobacz wszystkie- CVE-2026-110733Średnie
W module przechowywania SQL Apache SIS podczas sortowania strumienia obiektów klauzula jest kopiowana po ORDER BY bez cytowania znaku identyfikatora. Spreparowana klauzula sortowania może wstrzyknąć SQL do zapytania. Problem dotyczy modułu sql-storage w wersjach od 1.0 do 1.6; inne moduły, takie jak sis-referencing, nie są dotknięte.
- CVE-2025-68280Średnie
Apache SIS ma podatność na XML External Entity (XXE), która pozwala atakującemu na ujawnienie zawartości lokalnych plików serwera podczas parsowania określonych formatów (GeoTIFF, ISO 19115, GML, GPX). Dotyczy wersji od 0.4 do 1.5.
Oryginalny opis (angielski, źródło NVD)
This issue affects Apache SIS from version 0.7 through 1.6 inclusive. When a data file contains links to other files, Apache SIS opened these files regardless their paths. It was possible, for example, to specify a path to a local file. However, these files were always expected to be in some specific formats and the reading stops at the first parsing error, which makes this vulnerability unlikely to leak sensitive information. The impacted formats are: * Geographic Markup Language (GML) with `xlink:href` attributes for other files in GML format. * Well Known Text (WKT) with parameter elements for datum shift grids in NADCON, NTv2 or RGF93 formats. * Landsat scene with paths to files for each band in the GeoTIFF format. Users are recommended to upgrade to version 1.7, which fixes the issue by restricting the paths to the same directory as the file containing the references to other files, or to a predetermined directory for datum shift grids.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS