← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités OSGeo activement exploitées (KEV)

Les 3 vulnérabilités OSGeo dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-58360 — OSGeo GeoServer : restriction incorrecte de référence d'entité externe XML Critique

  • Produit : OSGeo GeoServer
  • Ajoutée au catalogue : 11 décembre 2025
  • Échéance CISA : 1 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-611
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 61 %

OSGeo GeoServer contient une vulnérabilité de restriction incorrecte de référence d'entité externe XML qui se produit lorsque l'application accepte une entrée XML via un point de terminaison spécifique /geoserver/wms opération GetMap et pourrait permettre à un attaquant de définir des entités externes dans la requête XML.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · osgeo-org.atlassian.net

Fiche détaillée : versions, références, chronologie →

CVE-2024-36401 — OSGeo GeoServer : vulnérabilité d'injection GeoTools Eval

  • Produit : OSGeo GeoServer
  • Ajoutée au catalogue : 15 juillet 2024
  • Échéance CISA : 5 août 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-95
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

OSGeo GeoServer GeoTools contient une vulnérabilité de neutralisation incorrecte des directives dans le code évalué dynamiquement, due à l'évaluation non sécurisée des noms de propriétés en expressions XPath. Cela permet à des attaquants non authentifiés d'effectuer une exécution de code à distance via une entrée spécialement élaborée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2022-24816 — OSGeo GeoServer JAI-EXT : vulnérabilité d'injection de code

  • Produit : OSGeo JAI-EXT
  • Ajoutée au catalogue : 26 juin 2024
  • Échéance CISA : 17 juillet 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

OSGeo GeoServer JAI-EXT contient une vulnérabilité d'injection de code qui, lorsque les programmes utilisent jt-jiffle et autorisent la fourniture d'un script Jiffle via une requête réseau, pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)