CVE-2026-58400
Publiée le 2026-09-03 · Dernière modification le 2026-09-04
Les installations de GeoNetwork antérieures aux versions 4.4.12 et 4.2.17 sont vulnérables à l'exécution de code à distance. Un attaquant disposant de privilèges d'administration de haut niveau peut télécharger un fichier de feuille de style malveillant pour exécuter des commandes arbitraires du système d'exploitation sous l'utilisateur du processus GeoNetwork. Cette attaque est techniquement simple à réaliser et ne nécessite aucune interaction de l'utilisateur, bien qu'elle exige que l'attaquant dispose déjà d'un accès authentifié au système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the Saxon XSLT processor used to render formatters is configured without secure processing (`FEATURE_SECURE_PROCESSING`) and without disabling Java extension functions (`ALLOW_EXTERNAL_FUNCTIONS`). Any stylesheet loaded by GeoNetwork can therefore invoke `java.lang.Runtime.exec()` or `java.lang.ProcessBuilder` directly, achieving arbitrary command execution as the GeoNetwork process user. A user with sufficient privileges to upload a formatter can deliver a `.xsl` file containing Java extension call that execute arbitrary OS commands with the privileges of the GeoNetwork process. The issue is patched in GeoNetwork versions 4.4.12 and 4.2.17.