CVE-2026-63219 — GeoNetwork — Corrigé dans 4.4.12 / 4.2.17
GeoNetwork est une application catalogue pour gérer des ressources à référence spatiale. Avant les versions 4.4.12 et 4.2.17, l'endpoint API pour la création d'un nouveau formatter via file upload n'est pas protégé et permet l'upload de fichiers externes non contrôlés. Un attaquant non authentifié peut uploader des fichiers formatter `.xsl` ou `.zip` arbitraires sur le serveur. Un attaquant non authentifié peut écrire des fichiers arbitraires dans le répertoire formatter de GeoNetwork. En soi, cela constitue un accès en écriture non autorisé au stockage du serveur. Le problème est corrigé dans les versions 4.4.12 et 4.2.17 de GeoNetwork.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| GeoNetwork | 4.4.12 / 4.2.17 |
Alerte précoce : exploitation observée
- Exploitation observée depuis le 3 sept. 2026
- Pas encore dans le catalogue officiel de la CISA
- Attaquée 1 jour avant la divulgation publique de la faille
Source : VulnCheck KEV · 3 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:NArticles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.