xonatec TI-Feed: GeoServer

🔴 CVE-2024-36401 — OSGeo GeoServer GeoTools Eval Injection

Wed, 15 Jul 2026 00:00:00 GMT

In OSGeo GeoServer wurde eine Eval-Injection-Schwachstelle in der GeoTools-Komponente entdeckt. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 99.8 %. Severity: Aktiv ausgenutzt · EPSS: 99.8% · aktiv ausgenutzt (KEV) Betroffene Produkte: geoserver

🔴 CVE-2025-58360 — OSGeo GeoServer XML External Entity (XXE) Injection

Wed, 15 Jul 2026 00:00:00 GMT

In OSGeo GeoServer wurde eine Schwachstelle durch unsachgemässe Einschränkung von XML External Entity-Referenzen (XXE) gefunden, die Angreifern den Zugriff auf interne Ressourcen ermöglichen kann. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 64.9 %. Severity: Aktiv ausgenutzt · EPSS: 64.9% · aktiv ausgenutzt (KEV) Betroffene Produkte: geoserver

CVE-2026-76904 — GeoTools SQL Injection Vulnerability

Sat, 22 Aug 2026 00:00:00 GMT

GeoTools ist eine quelloffene Java-Bibliothek für Geodaten-Werkzeuge. Ab Version 30.5 und vor den Versionen 33.6, 34.5 und 33.6 besteht laut Hersteller eine SQL-Injection-Schwachstelle. CVSS-Basiswert: 9.8 (Kritisch). Severity: Kritisch · CVSS: 9.8 · EPSS: 1.8% Betroffene Produkte: geoserver, java-openjdk-oracle

CVE-2025-59431 — MapServer – Boolean-basierte SQL-Injection über PropertyName im XML-Filter

Mon, 20 Jul 2026 00:00:00 GMT

In MapServer vor Version 8.4.1 ist die XML-Filter-Direktive PropertyName anfällig für Boolean-basierte SQL-Injection. Durch das Einschleusen doppelter Anführungszeichen in PropertyName lässt sich die Ausdrucksprüfung umgehen und Backend-Datenbankabfragen manipulieren. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 8.4.1. Severity: Kritisch · CVSS: 9.8 Betroffene Produkte: geoserver

CVE-2025-30220 — GeoServer/GeoTools: XML External Entity (XXE) in gt-xsd-core

Sun, 19 Jul 2026 00:00:00 GMT

GeoServer ist ein quelloffener Server zum Teilen und Bearbeiten von Geodaten. Die GeoTools-Klasse Schema nutzt die Eclipse-XSD-Bibliothek und ist für einen XML-External-Entity-Angriff (XXE) anfällig: Die gt-xsd-core-Schemas-Klasse verwendet den vom ParserHandler bereitgestellten EntityResolver nicht, wodurch beim Parsen von XML-Dokumenten mit Verweis auf ein externes XML-Schema externe Entitäten aufgelöst werden. Ebenfalls betroffen sind Nutzer des gt-wfs-ng DataStore. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf GeoTools 33.1, 32.3, 31.7 oder 28.6.1 bzw. GeoServer 2.27.1, 2.26.3 oder 2.25.7 aktualisieren. Severity: Kritisch · CVSS: 9.9 Betroffene Produkte: geoserver

CVE-2024-34711 — GeoServer – XML External Entity (XXE)

Mon, 20 Jul 2026 00:00:00 GMT

In GeoServer besteht eine Schwachstelle durch unzureichende URI-Validierung, die einem nicht autorisierten Angreifer einen XML-External-Entity-Angriff (XXE) ermöglicht und darüber GET-Anfragen an beliebige HTTP-Server absetzen lässt. Standardmässig filtert GeoServer schädliche URIs in XML-Entitäten über eine Regex, doch diese lässt weiterhin Anfragen an beliebige HTTP-Server oder eingeschränkte Dateien zu. Angreifer können dies missbrauchen, um interne Netzwerke zu scannen und Informationen darüber zu sammeln. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: GeoServer 2.25.0 oder neuer nutzt standardmässig die ENTITY_RESOLUTION_ALLOWLIST. Severity: Kritisch · CVSS: 9.3 Betroffene Produkte: geoserver

CVE-2025-27511 — GeoServer DB2-DataStore-Extension: Remote Code Execution via JNDI

Sat, 01 Aug 2026 00:00:00 GMT

In der DB2-DataStore-Extension von GeoServer vor Version 2.27.0 kann ein Administrator über eine präparierte DB2-JDBC-URL einen JNDI-Angriff durchführen, der zu Remote Code Execution führt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.27.0, dort ist das Problem behoben. Severity: Hoch · CVSS: 7.2 Betroffene Produkte: geoserver

CVE-2025-52465 — GeoServer: Master-Password-Dump ermöglicht Klartext-Auslesen des Master-Passworts

Sat, 01 Aug 2026 00:00:00 GMT

In GeoServer vor Version 2.26.4 bzw. 2.27.3 kann ein authentifizierter Administrator mit Zugriff auf das Security-System über die Master-Password-Dump-Webseite einen beliebigen Dateinamen übergeben und so eine Datei mit dem Master-Passwort im Klartext erzeugen. Der Dateiname muss ein absoluter Pfad zu einer noch nicht existierenden Datei sein, deren übergeordnete Verzeichnisse bereits vorhanden sind. Installationen, bei denen das Web-Interface deaktiviert oder entfernt ist, sind nicht betroffen, da die Schwachstelle in einer der Webseiten liegt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.26.4 oder 2.27.3. Severity: Hoch · CVSS: 7.2 Betroffene Produkte: geoserver

CVE-2025-30145 — GeoServer: Denial of Service durch bösartige Jiffle-Skripte

Wed, 29 Jul 2026 00:00:00 GMT

GeoServer kann bösartige Jiffle-Skripte ausführen, etwa als Rendering-Transformation in WMS-Dynamic-Styles oder als WPS-Prozess. Ein solches Skript kann laut Quelle in eine Endlosschleife geraten und dadurch einen Denial of Service auslösen. Die Schwachstelle ist behoben in den Versionen 2.27.0, 2.26.3 und 2.25.7. Empfohlene Massnahme: WMS-Dynamic-Styling und den Jiffle-Prozess deaktivieren, falls ein Update nicht sofort möglich ist. CVSS-Basiswert: 7.5 (Hoch). Severity: Hoch · CVSS: 7.5 Betroffene Produkte: geoserver

CVE-2024-29198 — GeoServer: Server-Side Request Forgery (SSRF) über den Demo-Request-Endpunkt

Fri, 31 Jul 2026 00:00:00 GMT

GeoServer, ein quelloffener Java-Server zum Teilen und Bearbeiten von Geodaten, ist über den Demo-Request-Endpunkt für Server-Side Request Forgery (SSRF) anfällig, sofern die Proxy Base URL nicht konfiguriert ist. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf GeoServer 2.24.4 oder 2.25.2 aktualisieren, wodurch das betroffene Servlet TestWfsPost entfernt und die Schwachstelle behoben wird. Severity: Hoch · CVSS: 7.5 Betroffene Produkte: geoserver

CVE-2024-24749 — GeoServer: Umgehung der Eingabevalidierung in GeoWebCache unter Windows/Tomcat

Fri, 31 Jul 2026 00:00:00 GMT

GeoServer, ein Open-Source-Server zum Teilen und Bearbeiten von Geodaten, erlaubt laut NVD vor den Versionen 2.23.5 und 2.24.3 bei Betrieb unter Windows mit Apache Tomcat die Umgehung der Eingabevalidierung in der GeoWebCache-Klasse ByteStreamController und das Lesen beliebiger Classpath-Ressourcen mit bestimmten Dateiendungen. Wird GeoServer zusätzlich als Web-Archiv mit im geoserver.war eingebettetem Datenverzeichnis betrieben, lassen sich dadurch vermutlich Administratorrechte erlangen; in produktiven Umgebungen mit externem Datenverzeichnis gilt dieses Szenario laut Quelle als unwahrscheinlich. CVSS-Basiswert: 7.5 (Hoch). Die Versionen 2.23.5 und 2.24.3 enthalten einen Patch; als Workarounds nennt die Quelle einen Wechsel von Windows auf Linux, von Apache Tomcat auf Jetty oder das Deaktivieren des anonymen Zugriffs auf die eingebetteten GeoWebCache-Verwaltungsseiten. Empfohlene Massnahme: Update auf Version 2.23.5 oder 2.24.3. Severity: Hoch · CVSS: 7.5 Betroffene Produkte: geoserver

CVE-2023-51444 — GeoServer: Path Traversal beim Coverage-Store-Upload ermöglicht Remote Code Execution

Sun, 02 Aug 2026 00:00:00 GMT

In GeoServer besteht vor den Versionen 2.23.4 und 2.24.1 eine Schwachstelle durch beliebigen Datei-Upload. Ein authentifizierter Administrator mit Berechtigung, Coverage Stores über die REST-Coverage-Store-API zu ändern, kann bei Stores mit absoluten Pfaden die dortige Pfadvalidierung umgehen (Path Traversal) und beliebige Dateiinhalte an beliebigen Speicherorten ablegen, was zu Remote Code Execution führen kann. Ein Administrator mit eingeschränkten Rechten könnte dies zudem nutzen, um GeoServer-Sicherheitsdateien zu überschreiben und volle Administratorrechte zu erlangen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.23.4 bzw. 2.24.1, die einen Fix für diese Schwachstelle enthalten. Severity: Hoch · CVSS: 7.2 Betroffene Produkte: geoserver

CVE-2023-41877 — GeoServer: Path-Traversal über Global-Settings-Logdatei-Konfiguration

Sun, 02 Aug 2026 00:00:00 GMT

GeoServer, ein Open-Source-Server für Geodaten, enthält in Version 2.23.4 und früher eine Path-Traversal-Schwachstelle. Sie erfordert, dass ein GeoServer-Administrator mit Zugriff auf die Admin-Konsole den Speicherort der Logdatei in den Global Settings falsch konfiguriert; die Logs-Seite der Admin-Konsole zeigt daraufhin eine Vorschau dieses Inhalts. Da die Ausnutzung Administratorzugriff voraussetzt, der oft eine vertrauenswürdige Partei betrifft, war zum Zeitpunkt der Veröffentlichung noch kein Patch verfügbar. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Als Workaround kann ein Systemadministrator über die Einstellung GEOSERVER_LOG_FILE jede über die Global-Settings-Seite vorgenommene Konfiguration überschreiben, gesetzt als Systemeigenschaft, Umgebungsvariable oder Servlet-Context-Parameter. Severity: Hoch · CVSS: 7.2 Betroffene Produkte: geoserver

CVE-2023-41339 — GeoServer: Server-Side Request Forgery über dynamische Styles

Mon, 20 Jul 2026 00:00:00 GMT

GeoServer ist ein quelloffener, in Java geschriebener Server zum Teilen und Bearbeiten von Geodaten. Die WMS-Spezifikation definiert einen sld=- Parameter für dynamische Styles; ist dessen Nutzung ohne konfigurierte URL-Prüfungen aktiviert, entsteht die Möglichkeit einer Server-Side Request Forgery. Darüber lassen sich NetNTLMv2-Hashes von Benutzern stehlen, die extern weitergeleitet oder geknackt werden können, um weiteren Zugriff zu erlangen. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.22.5 oder 2.23.2. Severity: Hoch · CVSS: 8.6 Betroffene Produkte: geoserver

CVE-2023-43795 — GeoServer – Server-Side Request Forgery über den OGC Web Processing Service

Mon, 20 Jul 2026 00:00:00 GMT

GeoServer ist ein quelloffener, in Java geschriebener Server zum Teilen und Bearbeiten von Geodaten. Die Spezifikation des OGC Web Processing Service (WPS) ist darauf ausgelegt, Informationen von beliebigen Servern über GET- und POST-Anfragen zu verarbeiten, was die Möglichkeit einer Server-Side Request Forgery eröffnet. Die Schwachstelle ist in den Versionen 2.22.5 und 2.23.2 behoben. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.22.5 bzw. 2.23.2 oder neuer. Severity: Hoch · CVSS: 8.6 Betroffene Produkte: geoserver

CVE-2026-53573 — GeoNetwork: Unsichere Redirect-Validierung in OAuth2/Keycloak-Login-Filtern

Sat, 01 Aug 2026 00:00:00 GMT

GeoNetwork ist eine Katalog-Anwendung zur Verwaltung georeferenzierter Ressourcen. In den Versionen 3.12.0 bis 4.2.16 sowie 4.4.11 validieren die Authentifizierungsfilter GeonetworkOAuth2LoginAuthenticationFilter sowie ein Keycloak-bezogener Authentication-Filter Redirect-Ziele laut Quelle nicht sicher. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Eine Ausnutzungswahrscheinlichkeit (EPSS) ist ebenfalls nicht angegeben. Severity: Mittel · EPSS: 0.4% Betroffene Produkte: geoserver

CVE-2026-8213 — OSGeo GDAL – Schwachstelle im Grid File Handler

Fri, 24 Jul 2026 00:00:00 GMT

In OSGeo GDAL bis Version 3.13.0dev-4 besteht eine Schwachstelle in der Funktion GDSDfldsrch der Datei frmts/hdf4/hdf-eos/GDapi.c der Komponente Grid File Handler. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Mittel · CVSS: 5.3 · EPSS: 0.3% Betroffene Produkte: geoserver

CVE-2026-8212 — OSGeo GDAL: Heap-basierter Speicherfehler in der Funktion SWSDfldsrch

Fri, 24 Jul 2026 00:00:00 GMT

In OSGeo GDAL bis Version 3.13.0dev-4 wurde eine Schwachstelle in der Funktion SWSDfldsrch der Datei frmts/hdf4/hdf-eos/SWapi.c gefunden. Eine entsprechende Manipulation kann einen heap-basierten Speicherfehler auslösen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Severity: Mittel · CVSS: 5.3 · EPSS: 0.2% Betroffene Produkte: geoserver