Kritische XXE-Schwachstelle in GeoServer entdeckt

In GeoServer wurde eine schwerwiegende Sicherheitslücke (CVE-2025-58360) bekannt, die einen unauthentifizierten XML External Entity (XXE) Angriff über das WMS-GetMap-Feature ermöglicht. Betroffen sind die Versionen ab 2.26.0 bis 2.26.1 sowie alle Versionen unter 2.25.6. Über manipulierte XML-Requests können Angreifer externe Entities einbinden und so beliebige Dateien vom Server auslesen, SSRF-Angriffe durchführen oder durch Ressourcenverbrauch einen DoS auslösen.

Die Schwachstelle wurde als kritisch eingestuft und wird wahrscheinlich bereits aktiv ausgenutzt

Sichere Versionen:
GeoServer 2.25.6, 2.26.3 oder 2.27.0.

Organisationen, die GeoServer einsetzen, sollten umgehend aktualisieren, um mögliche Datenabflüsse oder interne Netzwerkscans zu verhindern.

Tags :

Related Posts

WatchGuard Firebox mit Standard-Adminzugang ĂĽber SSH erreichbar

Eine gravierende Fehlkonfiguration betrifft WatchGuard Firebox-Geräte bis zur am 10. September 2025 veröffentlichten Version. Laut NVD-Eintrag CVE-2025-59396 erlauben die Geräte im Auslieferungszustand administrativen SSH-Zugriff auf Port 4118 – mit dem Standardpasswort des „admin“-Kontos.

Read More

glob CLI: Command-Injection-Lücke durch -c/--cmd ermöglicht Codeausführung

Die npm-Bibliothek glob weist eine schwere Schwachstelle (CVE-2025-64756) in ihrem CLI-Tool auf: Die Option -c/–cmd fĂĽhrt gefundene Dateinamen mit shell:true aus – und ermöglicht so Command Injection, wenn Dateien manipulierte Namen enthalten. Betroffen sind glob-Versionen ab 10.2.0 bis 10.4.x sowie 11.0.x; abgesichert wurde der Fehler in den Releases 10.5.0 und 11.1.0.

Read More

Shai-Hulud 2.0: Neue npm-Supply-Chain-Attacke legt 25.000+ Repos offen

Ein neuer Ableger der Shai-Hulud-Kampagne trifft aktuell das npm-Ökosystem. Angreifer haben teils stark verbreitete Pakete – unter anderem aus den Ökosystemen von Zapier, ENS Domains, PostHog und Postman – mit trojanisierten Versionen kompromittiert, so berichtet der Security Blog von WIZ. Diese werden zwischen dem 21. und 23. November 2025 auf npm eingestellt und führen beim Installieren im preinstall-Schritt Credential-Stealer-Code aus.

Read More