CVE-2025-58360highbajo ataqueCWE-611

CVE-2025-58360: fallo de gravedad alta en geoserver

GeoServer is vulnerable to an Unauthenticated XML External Entities (XXE) attack via WMS GetMap feature

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear geoserver+ Monitorear GeoServer

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

98Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.2epss 61%
de la publicación al arma1 día
Publicada en NVD25 nov
1ª PoC+1d
metasploit25 nov
CISA KEV+16d
Acción exigida por CISAplazo federal: 2026-01-01

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

GeoServer tiene una falla de seguridad donde atacantes pueden enviar solicitudes XML especialmente diseñadas al servicio WMS GetMap sin autenticarse, pudiendo leer archivos sensibles o causar que el servidor falle. Esto ocurre porque la aplicación no valida adecuadamente la entrada XML.

Detalle técnico

Un atacante no autenticado puede explotar la vulnerabilidad XXE a través del endpoint /geoserver/wms GetMap inyectando entidades XML maliciosas en las solicitudes. La aplicación falla al deshabilitar el procesamiento de entidades externas, permitiendo divulgación de archivos, SSRF o ataque de denegación de servicio. Las versiones afectadas son 2.26.0–2.26.1 y 2.25.0–2.25.5.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

GeoServer is an open source server that allows users to share and edit geospatial data. From version 2.26.0 to before 2.26.2 and before 2.25.6, an XML External Entity (XXE) vulnerability was identified. The application accepts XML input through a specific endpoint /geoserver/wms operation GetMap. However, this input is not sufficiently sanitized or restricted, allowing an attacker to define external entities within the XML request. This issue has been patched in GeoServer 2.25.6, GeoServer 2.26.3, and GeoServer 2.27.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
Productos afectados
geoserver · geoserver
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — geoserver

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-36401CRITICALRemote Code Execution (RCE) vulnerability in evaluating property name expressions in GeoserverEPSS 99.8%KEVCVE-2023-25157CRITICALUnfiltered SQL Injection Vulnerabilities in GeoserverEPSS 85.2%CVE-2023-43795HIGHWPS Server Side Request Forgery in GeoServerEPSS 69.0%CVE-2025-30220CRITICALGeoTools, GeoServer, and GeoNetwork XML External Entity (XXE) Processing Vulnerability in XSD schema handlingEPSS 43.6%CVE-2024-29198HIGHGeoServer Vulnerable to Unauthenticated SSRF via TestWfsPostEPSS 2.3%CVE-2023-51444HIGHGeoServer arbitrary file upload vulnerability in REST Coverage Store APIEPSS 1.9%