CVE-2025-58360

GeoServer có thể bị tấn công không xác thực XML External Entities (XXE) thông qua tính năng WMS GetMap

GeoServer là một máy chủ nguồn mở cho phép người dùng chia sẻ và chỉnh sửa dữ liệu địa lý. Từ phiên bản 2.26.0 đến trước 2.26.2 và trước 2.25.6, đã phát hiện một lỗ hổng XML External Entity (XXE).Ứng dụng này chấp nhận đầu vào XML thông qua một điểm cuối cụ thể /geoserver/wms operation GetMap. Tuy nhiên, đầu vào này không được làm sạch hoặc giới hạn đủ, cho phép kẻ tấn công định nghĩa các đối tượng ngoại vi trong yêu cầu XML. Lỗ hổng này đã được sửa chữa trong GeoServer 2.25.6, GeoServer 2.26.3 và GeoServer 2.27.0.

Bạn tra cứu quá nhanh — thử lại sau 44 giây.

CVSS (NVD)

8.2 · HIGH

Loại lỗi (CWE)

CWE-611