![cover](https://img-blog.csdnimg.cn/direct/f8d02bfd03454c07a876538718ec02b4.png)
全网首发 GeoServer 远程代码执行漏洞(CVE-2024-36401)
GeoServer 是一个开源服务器,允许用户共享和编辑地理空间数据,依赖 GeoTools 库来处理地理空间数据。受影响的版本中 GeoTools 库的 API 在处理要素类型的属性名称时,会将这些属性名称不安全地传递给 commons-jxpath 库进行解析,由于 commons-jxpath 库在解析 XPath 表达式时可以执行任意代码,从而导致未经身份验证的用户能够利用特定的 OGC
·
0x01 漏洞描述
GeoServer 是一个开源服务器,允许用户共享和编辑地理空间数据,依赖 GeoTools 库来处理地理空间数据。
受影响的版本中 GeoTools 库的 API 在处理要素类型的属性名称时,会将这些属性名称不安全地传递给 commons-jxpath 库进行解析,由于 commons-jxpath 库在解析 XPath 表达式时可以执行任意代码,从而导致未经身份验证的用户能够利用特定的 OGC 请求参数远程执行代码。
0x02 FoFa语句
app="GeoServer"
0x03 漏洞复现
POC详情见知识星球
0x04 知识星球
更多推荐
所有评论(0)