PT-2026-39152 · Mapserver · Mapserver

Jmckenna · Publicado 2026-05-08 · Atualizado 2026-05-08 · CVE-2026-42030

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas MapServer versões 6.0 a 8.6.1

Descrição Um problema de Cross-Site Scripting (XSS) refletido no servidor WMS permite que um invasor não autenticado injete HTML ou JavaScript arbitrário no navegador de um usuário por meio de uma URL WMS manipulada. Isso ocorre durante requisições WMS 1.3.0 quando o parâmetro FORMAT é definido como 'application/openlayers' e o parâmetro SRS não é devidamente sanitizado.

Recomendações Atualizar para a versão 8.6.2. Restringir o uso do parâmetro SRS em requisições WMS 1.3.0 como uma mitigação temporária.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2026-42030

Produtos afetados

Mapserver

Referências · 10

• 🔥 https://github.com/MapServer/MapServer/security/advisories/GHSA-4g9f-ph64-hg2x · Exploit
• https://github.com/MapServer/MapServer/releases/tag/rel-8-6-2 · Nota
• https://ubuntu.com/security/CVE-2026-42030 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2052810963502379376 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-42030 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-42030 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-42030 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42030 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-42030 · Aviso do Fabricante
• https://t.me/CVEtracker/53143 · Publicação no Telegram