CVE-2025-58360 — GeoServer — Corretto in 2.25.6 / 2.26.3 / 2.27.0
GeoServer è un server open source che consente agli utenti di condividere e modificare dati geospaziali. Dalla versione 2.26.0 a prima della 2.26.2 e prima della 2.25.6, è stata identificata una vulnerabilità XML External Entity (XXE). L'applicazione accetta input XML tramite uno specifico endpoint /geoserver/wms operazione GetMap. Tuttavia, questo input non è sufficientemente sanificato o limitato, consentendo a un attaccante di definire entità esterne all'interno della richiesta XML. Questo problema è stato corretto in GeoServer 2.25.6, GeoServer 2.26.3 e GeoServer 2.27.0.
Versioni corrette
Scegli la versione relativa al prodotto e al ramo installato.
| Prodotto | Versioni corrette |
|---|---|
| GeoServer | 2.25.6 / 2.26.3 / 2.27.0 |
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 11 dic 2025
- Le agenzie federali statunitensi devono correggerla entro il 1 gen 2026 (direttiva BOD 22-01)
- Primo attacco osservato 9 giorni dopo la divulgazione
- Confermata dai sensori, non solo da segnalazioni
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Fonte: CISA KEV · 3 ott 2026 2 ott 2026 1 ott 2026 1 ott 2026 30 set 2026 29 set 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:LProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| geoserver | geoserver | < 2.25.6 |
Articoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.