CVE-2026-58400 — GeoNetwork — Corrigé dans 4.4.12 / 4.2.17
GeoNetwork est une application catalogue destinée à gérer les ressources à référence spatiale. Avant les versions 4.4.12 et 4.2.17, le processeur XSLT Saxon utilisé pour restituer les formatters est configuré sans traitement sécurisé (`FEATURE_SECURE_PROCESSING`) et sans désactivation des fonctions d'extension Java (`ALLOW_EXTERNAL_FUNCTIONS`). Toute feuille de style chargée par GeoNetwork peut donc invoquer directement `java.lang.Runtime.exec()` ou `java.lang.ProcessBuilder`, obtenant une exécution de commandes arbitraires en tant qu'utilisateur du processus GeoNetwork. Un utilisateur disposant de privilèges suffisants pour téléverser un formatter peut fournir un fichier `.xsl` contenant un appel d'extension Java qui exécute des commandes OS arbitraires avec les privilèges du processus GeoNetwork. Le problème est corrigé dans les versions 4.4.12 et 4.2.17 de GeoNetwork.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| GeoNetwork | 4.4.12 / 4.2.17 |
Alerte précoce : exploitation observée
- Exploitation observée depuis le 3 sept. 2026
- Pas encore dans le catalogue officiel de la CISA
- Attaquée 1 jour avant la divulgation publique de la faille
Source : VulnCheck KEV · 3 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HArticles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.