CVE-2023-25158
Injeção SQL não filtrada no Geotools
- Publicado
- 21 de fev. de 2023
- Atualizado
- 10 de mar. de 2025
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 65,0%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
GeoTools é uma biblioteca Java de código aberto que fornece ferramentas para dados geoespaciais. O GeoTools inclui suporte para análise, codificação e execução da linguagem de expressão de filtros OGC em uma variedade de armazenamentos de dados. Vulnerabilidades de Injeção de SQL foram encontradas ao executar filtros OGC com implementações de JDBCDataStore. Os usuários são aconselhados a atualizar para a versão 27.4 ou 28.2 para resolver este problema. Usuários que não puderem atualizar podem desabilitar `encode functions` para PostGIS DataStores ou habilitar `prepared statements` para JDBCDataStores como uma mitigação parcial.
Fontes
GeoServer & GeoTools Injeção de SQL (CVE-2023-25157 & CVE-2023-25158)
- CVE-2023-25157Pesquisa
Laboratório local GeoServer/PostGIS que reproduz a injeção SQL do OGC Filter (CVE-2023-25157/25158) com modos de teste A/B vulnerável, corrigido e mitigado.
Laboratório vulnerável baseado em Docker e relatório detalhado de PoC para injeção SQL CVE-2023-25157/25158 no GeoServer & GeoTools, com 4 vetores de ataque verificados e análise.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.