PT-2025-24671 · Geoserver · Geoserver
Sikeoka
·
Publicado
2025-06-10
·
Atualizado
2025-07-14
·
CVE-2025-27505
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do GeoServer anteriores à 2.25.6
Versões do GeoServer anteriores à 2.26.3
Descrição
O problema permite contornar a segurança padrão da API REST, possibilitando o acesso à página de índice. Isso é possível porque a segurança da API REST não lida com 'rest' com uma extensão (por exemplo, rest.html). O índice da API REST pode revelar se determinadas extensões estão instaladas.
Recomendações
Para versões anteriores à 2.25.6, atualize para a versão 2.25.6 ou posterior.
Para versões anteriores à 2.26.3, atualize para a versão 2.26.3 ou posterior.
Como solução temporária, em ${GEOSERVER DATA DIR}/security/config.xml, altere os caminhos do filtro rest para /rest.,/rest/** e os caminhos do filtro gwc para /gwc/rest.,/gwc/rest/** e reinicie o GeoServer.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Geoserver