CVE-2026-39379

إصدارات GeoNetwork 3.x و4.0.x

إصدارات GeoNetwork السابقة للإصدار 4.2.15

إصدارات GeoNetwork السابقة للإصدار 4.4.10

يقوم GeoNetwork بعرض محتوى يتحكم فيه المهاجم في صفحة خطأ عندما يطلب المستخدم عنوان URL لخدمة غير موجودة أو غير مصرح بها. ونظرًا لأن صفحة الخطأ عبارة عن تطبيق AngularJS، يمكن تقييم هذا المحتوى باعتباره تعبيرًا نموذجيًّا من جانب العميل، مما يسمح بـ «التنفيذ البرمجي عبر المواقع» (XSS) المنعكس عبر حقن القوالب من جانب العميل. يمكن للمهاجم خداع المستخدم لزيارة رابط مُصمم خصيصًا لتنفيذ جافا سكريبت تعسفي في متصفح الضحية، مما قد يؤدي إلى استخراج المعلومات أو تنفيذ إجراءات نيابة عن الضحية، مثل جمع بيانات الاعتماد عبر نموذج تسجيل دخول مزيف.

قم بترقية إصدارات GeoNetwork 3.x و4.0.x إلى إصدار مدعوم (4.2.15 أو أحدث، أو 4.4.10 أو أحدث).

قم بترقية الإصدارات الأقدم من 4.2.15 إلى الإصدار 4.2.15 أو أحدث.

قم بترقية الإصدارات الأقدم من 4.4.10 إلى الإصدار 4.4.10 أو أحدث.