CVE-2026-48528

Nome do Software Vulnerável e Versões Afetadas Metacat versões 2.0.0 through 3.4.0

Description Existe uma injeção de SQL não autenticada nos endpoints de API REST /cn/v1/object e /cn/v2/object. O problema ocorre porque o software anexa dados fornecidos pelo usuário a consultas SQL sem sanitização ou parametrização. Um invasor pode modificar o parâmetro nodeId para executar comandos SQL arbitrários no banco de dados PostgresQL. Isso permite a extração de informações protegidas ao utilizar mecanismos de relatório de erros que espelham respostas de erro SQL em mensagens XML, como o uso da função CAST para gerar erros contendo resultados de subconsultas. Além disso, invasores podem executar instruções para inserir, atualizar ou excluir dados, resultando no comprometimento total do banco de dados, incluindo gerenciamento do catálogo de dados, logs de acesso, identificadores ORCID, endereços IP de clientes e informações de controle de acesso.

Recommendations Atualize o Metacat para a versão 3.4.1. Como mitigação temporária, desative os endpoints REST /cn removendo o servlet e o servlet-mapping para edu.ucsb.nceas.metacat.restservice.v1.CNRestServlet e edu.ucsb.nceas.metacat.restservice.v2.CNRestServlet no mecanismo de servlet (por exemplo, removendo os elementos servlet-mapping relevantes do arquivo web.xml no Tomcat).