CVE-2025-58360
GeoServer, WMS GetMap सुविधा के माध्यम से एक बिना प्रमाणीकरण वाले XML External Entities (XXE) हमले के प्रति संवेदनशील है।
- प्रकाशित
- 25 नव॰ 2025
- अद्यतन
- 26 फ़र॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 11 दिस॰ 2025
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.1%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
GeoServer एक ओपन सोर्स सर्वर है जो उपयोगकर्ताओं को भू-स्थानिक डेटा साझा करने और संपादित करने की सुविधा देता है। संस्करण 2.26.0 से 2.26.2 से पहले तथा 2.25.6 से पहले, एक XML एक्सटर्नल एंटिटी (XXE) भेद्यता की पहचान की गई थी। एप्लिकेशन एक विशिष्ट एंडपॉइंट /geoserver/wms ऑपरेशन GetMap के माध्यम से XML इनपुट स्वीकार करता है। हालाँकि, यह इनपुट पर्याप्त रूप से सैनिटाइज़ या प्रतिबंधित नहीं है, जिससे एक हमलावर XML अनुरोध के भीतर बाहरी एंटिटीज़ परिभाषित कर सकता है। यह समस्या GeoServer 2.25.6, GeoServer 2.26.3, और GeoServer 2.27.0 में पैच कर दी गई है।
स्रोत
modules/auxiliary/gather/geoserver_wms_getmap_xxe_file_read.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_not_declared($.auxiliary_gather/geoserver_wms_getmap_xxe_file_read.check)
http/cves/2025/CVE-2025-58360.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।