CVE-2026-55864

GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 procesor XSLT Saxon używany do renderowania formaterów jest skonfigurowany bez bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia funkcji rozszerzeń Javy (ALLOW_EXTERNAL_FUNCTIONS). Każdy arkusz stylów załadowany przez GeoNetwork może więc wywołać java.lang.Runtime.exec() lub java.lang.ProcessBuilder bezpośrednio, osiągając wykonanie dowolnych poleceń jako użytkownik procesu GeoNetwork. Użytkownik z wystarczającymi uprawnieniami do przesłania formatera może dostarczyć plik .xsl zawierający wywołania rozszerzeń Javy, które wykonują dowolne polecenia systemu operacyjnego z uprawnieniami procesu GeoNetwork. Problem jest naprawiony w wersjach GeoNetwork 4.4.12 i 4.2.17.

W GeoNetwork od wersji 4.0.0-alpha.1 do 4.2.16 i 4.4.11 proxy wyszukiwania oparte na Elasticsearch może pominąć wstrzykiwanie filtra kontroli dostępu GeoNetwork, gdy żądanie klienta ma pominięte pole zapytania. Żądanie jest wtedy przekazywane do Elasticsearch bez widoczności grup, wykluczenia szkiców, własności rekordów ani filtrowania specyficznego dla portalu, co pozwala nieuwierzytelnionemu zdalnemu atakującemu pobrać pełną indeksowaną zawartość metadanych, które nie powinny być publicznie widoczne.

W GeoNetwork od wersji 3.0.0 do 4.2.15 i 4.4.10 żądanie nieistniejącego lub nieautoryzowanego URL usługi może spowodować, że strona błędu odzwierciedli kontrolowaną przez atakującego treść żądania wewnątrz aplikacji AngularJS bez odpowiedniej neutralizacji dla ewaluacji szablonu. Zdalny atakujący może nakłonić ofiarę, w tym administratora, do otwarcia spreparowanego linku, aby odzwierciedlona wartość została oceniona jako wyrażenie szablonu AngularJS, co w połączeniu ze znanymi technikami ucieczki z sandboxa AngularJS może wykonać dowolny JavaScript w uwierzytelnionej sesji przeglądarki ofiary.

GeoNetwork to aplikacja katalogowa do zarządzania zasobami przestrzennymi. Przed wersjami 4.4.12 i 4.2.17 punkt końcowy API do tworzenia nowego formatera przez upload pliku jest niechroniony i pozwala na przesyłanie zewnętrznych niekontrolowanych plików. Nieuwierzytelniony atakujący może przesłać dowolne pliki formattera .xsl lub .zip do katalogu formatterów GeoNetwork.

Aplikacja GeoNetwork w wersjach od 3.12.0 do 4.2.16 i 4.4.11 zawiera podatność. Niebezpieczna walidacja przekierowań w filtrach GeonetworkOAuth2LoginAuthenticationFilter i KeycloakAuthenticationProcessingFilter pozwala na zewnętrzne przekierowanie po zalogowaniu kontrolowane przez atakującego.