CVE-2026-53573

GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 procesor XSLT Saxon używany do renderowania formaterów jest skonfigurowany bez bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia funkcji rozszerzeń Javy (ALLOW_EXTERNAL_FUNCTIONS). Każdy arkusz stylów załadowany przez GeoNetwork może więc wywołać java.lang.Runtime.exec() lub java.lang.ProcessBuilder bezpośrednio, osiągając wykonanie dowolnych poleceń jako użytkownik procesu GeoNetwork. Użytkownik z wystarczającymi uprawnieniami do przesłania formatera może dostarczyć plik .xsl zawierający wywołania rozszerzeń Javy, które wykonują dowolne polecenia systemu operacyjnego z uprawnieniami procesu GeoNetwork. Problem jest naprawiony w wersjach GeoNetwork 4.4.12 i 4.2.17.

W GeoNetwork od wersji 4.0.0-alpha.1 do 4.2.16 i 4.4.11 proxy wyszukiwania oparte na Elasticsearch może pominąć wstrzykiwanie filtra kontroli dostępu GeoNetwork, gdy żądanie klienta ma pominięte pole zapytania. Żądanie jest wtedy przekazywane do Elasticsearch bez widoczności grup, wykluczenia szkiców, własności rekordów ani filtrowania specyficznego dla portalu, co pozwala nieuwierzytelnionemu zdalnemu atakującemu pobrać pełną indeksowaną zawartość metadanych, które nie powinny być publicznie widoczne.

W GeoNetwork od wersji 3.0.0 do 4.2.15 i 4.4.10 żądanie nieistniejącego lub nieautoryzowanego URL usługi może spowodować, że strona błędu odzwierciedli kontrolowaną przez atakującego treść żądania wewnątrz aplikacji AngularJS bez odpowiedniej neutralizacji dla ewaluacji szablonu. Zdalny atakujący może nakłonić ofiarę, w tym administratora, do otwarcia spreparowanego linku, aby odzwierciedlona wartość została oceniona jako wyrażenie szablonu AngularJS, co w połączeniu ze znanymi technikami ucieczki z sandboxa AngularJS może wykonać dowolny JavaScript w uwierzytelnionej sesji przeglądarki ofiary.

W GeoNetwork przed wersjami 4.2.17 i 4.4.12 punkt końcowy POST /api/tools/ogc/sld przyjmował adres URL serwera WMS podany przez wywołującego i wykonywał po stronie serwera żądanie HTTP GET bez walidacji celu. Anonimowy atakujący mógł wymusić na serwerze GeoNetwork żądania do wewnętrznych hostów nieosiągalnych publicznie. Gdy odpowiedź była w formacie XML, punkt końcowy mógł zapisać i zwrócić pobraną treść.

GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 punkt końcowy API do tworzenia nowego formatera przez upload pliku jest niechroniony i pozwala na przesyłanie zewnętrznych niekontrolowanych plików. Nieuwierzytelniony atakujący może przesłać dowolne pliki formattera .xsl lub .zip do katalogu formatterów GeoNetwork.