Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79
  • CWE-1336

CVE-2026-39379

GeoNetwork'te istemci taraflı şablon enjeksiyonu kaynaklı yansıtmalı XSS açığı

core-geonetwork

Yüksek 7,1 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, saldırganların yetkili kullanıcıların oturumlarını ele geçirmesine veya onların adına işlem yapmasına olanak tanıyabilir. Kötü niyetli bir bağlantıya tıklatılması yeterli olduğundan saldırı kolaydır. Veri kaybı ve yetkisiz erişim riski nedeniyle güncellemenin öncelikli olarak yapılması önerilir.

ÖzetTürkçe

GeoNetwork, mekansal kaynakları yönetmek için kullanılan bir katalog uygulamasıdır. 3.0.0 ile 4.2.15 (ve 4.4.10) öncesi sürümlerde, var olmayan veya yetkisiz bir servis adresi istendiğinde hata sayfası, kullanıcı isteğindeki içeriği AngularJS uygulaması içinde yeterince temizlemeden yansıtmaktadır. Bu nedenle GeoNetwork kullanan tüm kurulumlar etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, hazırlanmış bir bağlantıyla kurbanın (yönetici dahil) tarayıcısında keyfi JavaScript çalıştırabilir; oturumdaki yetkilerle işlem yapabilir ve bilgi sızdırabilir.

Kaynaktaki açıklama (İngilizce)

GeoNetwork is a catalog application to manage spatially referenced resources. From 3.0.0 until 4.2.15 and 4.4.10, requesting a nonexistent or unauthorized service URL can cause an error page to reflect attacker-controlled request content inside an AngularJS application without adequately neutralizing it for template evaluation. A remote attacker can induce a victim, including an administrator, to open a crafted link so the reflected value is evaluated as an AngularJS template expression. Combined with known AngularJS sandbox-escape techniques, this can execute arbitrary JavaScript in the victim's authenticated browser session, disclose information, or perform actions as the victim. This issue is fixed in versions 4.2.15 and 4.4.10.

Ne yapmalı?

  1. GeoNetwork'ü 4.2.15 veya 4.4.10 sürümüne (kullandığınız dal hangisiyse ona uygun olan) yükseltin. Genel öneri
  2. Güncelleme öncesinde, yönetici ve kullanıcıların şüpheli bağlantılara tıklamamaları konusunda uyarın. Genel öneri
  3. Güncelleme tamamlanana kadar uygulamaya dışarıdan erişimi kısıtlamayı değerlendirin. Genel öneri

Ek önlemler

  • Yönetici hesaplarının oturumlarını güncellemeden sonra yeniden başlatmayı ve şüpheli oturumları kontrol etmeyi düşünün. Genel öneri
  • Web sunucu günlüklerinde alışılmadık uzun veya özel karakter içeren isteklerin izlenmesi, olası saldırı girişimlerini belirlemeye yardımcı olabilir. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
core-geonetwork Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.