NCSC-2026-0343 [1.00] [M/H] Kwetsbaarheden verholpen in GeoNetwork door OpenGeo

OpenGeo heeft meerdere kwetsbaarheden verholpen in GeoNetwork, een open-source catalogusapplicatie, specifiek in versies 4.4.5 tot en met 4.4.11 en versies voorafgaand aan 4.4.12 en 4.2.17. De eerste kwetsbaarheid betreft een reflected cross-site scripting (XSS) in de publieke, niet-geauthenticeerde cataloguszoekfunctie. Dit wordt veroorzaakt door onvoldoende sanering van de uiconfig queryparameter, waardoor een aanvaller JavaScript kan injecteren en uitvoeren in de browsercontext van gebruikers. De tweede kwetsbaarheid betreft een onveilige configuratie van de XSLT-processor die het mogelijk maakt voor gebruikers met uploadrechten om willekeurige besturingssysteemcommando's uit te voeren via geüploade .xsl-bestanden. De derde kwetsbaarheid betreft een onbeveiligde API-endpoint die het mogelijk maakt voor niet-geauthenticeerde aanvallers om willekeurige .xsl- of .zip-bestanden te uploaden, wat ongeautoriseerde schrijfrechten op de server kan veroorzaken en mogelijk leidt tot servercompromittering.