CVE-2023-25157

КритическийОпубликовано

Уязвимости нефильтрованных SQL-инъекций в Geoserver

Опубликовано: 21 февр. 2023 г.
Обновлено: 10 мар. 2025 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

85,2 %

Высокий · следующие 30 дней

Процентиль: 99,7 %
Дата модели: 19 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

GeoServer — это сервер с открытым исходным кодом, написанный на Java, который позволяет пользователям обмениваться геопространственными данными и редактировать их. GeoServer включает поддержку языка выражений фильтров OGC и общего языка запросов OGC (CQL) в составе протоколов Web Feature Service (WFS) и Web Map Service (WMS). CQL также поддерживается через протокол Web Coverage Service (WCS) для покрытий ImageMosaic. Пользователям рекомендуется обновиться до версии 2.21.4 или 2.22.2, чтобы устранить эту проблему. Пользователям, которые не могут обновиться, следует отключить настройку *encode functions* в PostGIS Datastore, чтобы снизить риск неправомерного использования ``strEndsWith``, ``strStartsWith`` и ``PropertyIsLike ``, а также включить настройку *preparedStatements* в PostGIS DataStore, чтобы снизить риск неправомерного использования ``FeatureId``.

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 2

1 Шаблон1 Лаборатория

GeoServer OGC Filter SQL InjectionЛаборатория
geoserver/CVE-2023-25157
GeoServer OGC Filter SQL Injection (CVE-2023-25157)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 9b90d4276f84Связанный инструмент
Заявленные условия
- lab image version: vulhub/geoserver:2.22.1(geoserver/CVE-2023-25157/docker-compose.yml:services.web.image)
- lab image version: postgis/postgis:14-3.3-alpine(geoserver/CVE-2023-25157/docker-compose.yml:services.postgres.image)
GeoServer OGC Filter - SQL InjectionШаблон
http/cves/2023/CVE-2023-25157.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: ee9e6969a9beСвязанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.