CVE-2026-58400 — GeoNetwork — Corregido en 4.4.12 / 4.2.17

GeoNetwork es una aplicación de catálogo para gestionar recursos con referencia espacial. Antes de las versiones 4.4.12 y 4.2.17, el procesador XSLT Saxon utilizado para renderizar formateadores está configurado sin procesamiento seguro (`FEATURE_SECURE_PROCESSING`) y sin deshabilitar las funciones de extensión Java (`ALLOW_EXTERNAL_FUNCTIONS`). Cualquier hoja de estilo cargada por GeoNetwork puede por tanto invocar `java.lang.Runtime.exec()` o `java.lang.ProcessBuilder` directamente, logrando la ejecución arbitraria de comandos como el usuario del proceso GeoNetwork. Un usuario con privilegios suficientes para subir un formateador puede entregar un archivo `.xsl` que contiene una llamada de extensión Java que ejecuta comandos arbitrarios del SO con los privilegios del proceso GeoNetwork. El problema está parcheado en las versiones 4.4.12 y 4.2.17 de GeoNetwork.