GeoServer: CVE-2025-58360

अस्वीकरण

इस रिपॉजिटरी में मौजूद कोड और जानकारी केवल शैक्षिक और शोध उद्देश्यों के लिए है। इस रिपॉजिटरी का मालिक इस कोड और/या जानकारी के साथ आपके द्वारा किए जाने वाले किसी भी कार्य के लिए कोई जिम्मेदारी नहीं लेता है। आपके कार्य आपके अपने हैं। कृपया इसे कानूनी और जिम्मेदारी से उपयोग करें।

Python3 क्लास

exploit/exploiter.py फ़ाइल में Python3 क्लास (GeoDumper) XXE भेद्यता के शोषण को स्वचालित करता है और लीक की गई जानकारी को एक स्थानीय फ़ाइल में सहेजता है।

उदाहरण:

import exploit.exploiter as exploiter

target_ip = "localhost"
secure = False

geoserver_path = "geoserver"

dumper = exploiter.GeoDumper(target_ip=target_ip, geoserver_path=geoserver_path, is_secure=secure)
(data, filename) = dumper.dump_file(target_file)
print(f"[+] data saved to \"{filename}\"")
print(f"[+] Data:\n{data.decode("utf-8")}")

भेद्यता संदर्भ

प्रश्न में मौजूद भेद्यता GetMap फ़ंक्शन में अनुचित रूप से सैनिटाइज़ नहीं किए गए XML इनपुट का शोषण करती है, जिससे हमलावर द्वारा मनमानी फ़ाइल पढ़ी जा सकती है।

भेद्यता के बारे में अधिक जानकारी और बेहतर स्पष्टीकरण/विस्तृत विवरण नीचे दिए गए लिंक में पाए जा सकते हैं।

• आधिकारिक Geoserver GitHub सुरक्षा आइटम
• CVE रिकॉर्ड
• CISA रिलीज़
• TryHackMe कक्ष, GeoServer: CVE-2025-58360

नोट: मैंने भेद्यता की खोज नहीं की या उससे संबंधित कोई शोध नहीं किया। यह कोड और रिपॉजिटरी TryHackMe पर संबंधित कक्ष को करते समय बनाई गई थी।