CVE-2025-58360 — GeoServer — Corrigé dans 2.25.6 / 2.26.3 / 2.27.0
GeoServer est un serveur open source qui permet aux utilisateurs de partager et de modifier des données géospatiales. De la version 2.26.0 à avant 2.26.2 et avant 2.25.6, une vulnérabilité XML External Entity (XXE) a été identifiée. L'application accepte une entrée XML via un endpoint spécifique /geoserver/wms opération GetMap. Cependant, cette entrée n'est pas suffisamment assainie ou restreinte, permettant à un attaquant de définir des entités externes dans la requête XML. Ce problème a été corrigé dans GeoServer 2.25.6, GeoServer 2.26.3 et GeoServer 2.27.0.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| GeoServer | 2.25.6 / 2.26.3 / 2.27.0 |
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 11 déc. 2025
- Les agences fédérales américaines doivent la corriger avant le 1 janv. 2026 (BOD 22-01)
- Première attaque observée 9 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Source : CISA KEV · 3 oct. 2026 2 oct. 2026 1 oct. 2026 1 oct. 2026 30 sept. 2026 29 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:LProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| geoserver | geoserver | < 2.25.6 |
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.