CVE-2026-58400 — GeoNetwork — Corretto in 4.4.12 / 4.2.17

GeoNetwork è un'applicazione di catalogo per gestire risorse spazialmente referenziate. Prima delle versioni 4.4.12 e 4.2.17, il processore XSLT Saxon utilizzato per eseguire il rendering dei formatter è configurato senza elaborazione sicura (`FEATURE_SECURE_PROCESSING`) e senza disabilitare le funzioni di estensione Java (`ALLOW_EXTERNAL_FUNCTIONS`). Qualsiasi stylesheet caricato da GeoNetwork può quindi invocare direttamente `java.lang.Runtime.exec()` o `java.lang.ProcessBuilder`, ottenendo l'esecuzione di comandi arbitrari come utente del processo GeoNetwork. Un utente con privilegi sufficienti per caricare un formatter può fornire un file `.xsl` contenente una chiamata di estensione Java che esegue comandi OS arbitrari con i privilegi del processo GeoNetwork. Il problema è stato corretto nelle versioni 4.4.12 e 4.2.17 di GeoNetwork.