Skip to content
OpenAdvisories
High 2 exploited CVEs NCSC-2026-0343 2 CVEs

Kwetsbaarheden verholpen in GeoNetwork door OpenGeo

Published Sep 7, 2026 · Updated Sep 7, 2026 · nl

Vendor: geonetwork Product: core-geonetwork

Summary

OpenGeo heeft meerdere kwetsbaarheden verholpen in GeoNetwork, een open-source catalogusapplicatie, specifiek in versies 4.4.5 tot en met 4.4.11 en versies voorafgaand aan 4.4.12 en 4.2.17.

Details

Interpretaties
De eerste kwetsbaarheid betreft een reflected cross-site scripting (XSS) in de publieke, niet-geauthenticeerde cataloguszoekfunctie. Dit wordt veroorzaakt door onvoldoende sanering van de uiconfig queryparameter, waardoor een aanvaller JavaScript kan injecteren en uitvoeren in de browsercontext van gebruikers. De tweede kwetsbaarheid betreft een onveilige configuratie van de XSLT-processor die het mogelijk maakt voor gebruikers met uploadrechten om willekeurige besturingssysteemcommando's uit te voeren via geüploade .xsl-bestanden. De derde kwetsbaarheid betreft een onbeveiligde API-endpoint die het mogelijk maakt voor niet-geauthenticeerde aanvallers om willekeurige .xsl- of .zip-bestanden te uploaden, wat ongeautoriseerde schrijfrechten op de server kan veroorzaken en mogelijk leidt tot servercompromittering.

Oplossingen
OpenGeo heeft updates uitgebracht in GeoNetwork versies 4.4.12 en 4.2.17 die deze kwetsbaarheden verhelpen. Zie bijgevoegde referenties voor meer informatie.

Vulnerabilities 2

  • Critical 9.1
    CVE-2026-58400 Exploited

    GeoNetwork vulnerable to Remote Code Execution via unsafe Saxon XSLT processor configuration in formatter

    GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the Saxon XSLT processor used to render formatters is configured without secure processing (`FEATURE_SECURE_PROCESSING`) and without disabling J…

    geonetwork core-geonetwork
  • High 8.6
    CVE-2026-63219 Exploited

    Unauthenticated file upload via missing authorization on formatter upload endpoint

    GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the API endpoint for creating a new formatter via file upload is unprotected and allows the upload of external uncontrolled files. An unauthenti…

    geonetwork core-geonetwork

Revision history

  1. #1.0.0

    Initiele versie

References

  • Reference
    https://docs.geonetwork-opensource.org/4.2/overview/change-log/version-4.2.17
  • Reference
    https://docs.geonetwork-opensource.org/4.4/overview/change-log/version-4.4.12