GeoServer – Server-Side Request Forgery über den OGC Web Processing Service

Beschreibung

GeoServer ist ein quelloffener, in Java geschriebener Server zum Teilen und Bearbeiten von Geodaten. Die Spezifikation des OGC Web Processing Service (WPS) ist darauf ausgelegt, Informationen von beliebigen Servern über GET- und POST-Anfragen zu verarbeiten, was die Möglichkeit einer Server-Side Request Forgery eröffnet. Die Schwachstelle ist in den Versionen 2.22.5 und 2.23.2 behoben. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.22.5 bzw. 2.23.2 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in GeoServer

• OSGeo GeoServer XML External Entity (XXE) Injection KEV CVE-2025-58360
• OSGeo GeoServer GeoTools Eval Injection KEV CVE-2024-36401
• GeoTools SQL Injection Vulnerability CVE-2026-76904
• MapServer – Boolean-basierte SQL-Injection über PropertyName im XML-Filter CVE-2025-59431
• GeoServer/GeoTools: XML External Entity (XXE) in gt-xsd-core CVE-2025-30220
• GeoServer – XML External Entity (XXE) CVE-2024-34711