Kritische XXE-Schwachstelle in GeoServer entdeckt

In GeoServer wurde eine schwerwiegende Sicherheitslücke (CVE-2025-58360) bekannt, die einen unauthentifizierten XML External Entity (XXE) Angriff über das WMS-GetMap-Feature ermöglicht. Betroffen sind die Versionen ab 2.26.0 bis 2.26.1 sowie alle Versionen unter 2.25.6. Über manipulierte XML-Requests können Angreifer externe Entities einbinden und so beliebige Dateien vom Server auslesen, SSRF-Angriffe durchführen oder durch Ressourcenverbrauch einen DoS auslösen.

Die Schwachstelle wurde als kritisch eingestuft und wird wahrscheinlich bereits aktiv ausgenutzt

Sichere Versionen:
GeoServer 2.25.6, 2.26.3 oder 2.27.0.

Organisationen, die GeoServer einsetzen, sollten umgehend aktualisieren, um mögliche Datenabflüsse oder interne Netzwerkscans zu verhindern.

Tags :

Related Posts

FortiWeb: Schwachstelle für OS-Command-Injection wird aktiv ausgenutzt

Fortinet warnt vor einer OS-Command-Injection-Schwachstelle (CVE-2025-58034) in mehreren FortiWeb-Versionen, die bereits aktiv in freier Wildbahn ausgenutzt wird. Der Fehler ermöglicht authentifizierten Angreifern, über manipulierte HTTP-Requests oder CLI-Befehle beliebigen Code auf dem System auszuführen.

Read More

Kritische ASN.1-Validierungslücke in node-forge ermöglicht Signatur-Bypass

In der beliebten Kryptobibliothek node-forge wurde eine schwerwiegende Schwachstelle (CVE-2025-12816) entdeckt, die alle Versionen vor 1.3.2 betrifft. Die Lücke – ein Interpretation Conflict im ASN.1-Validator – erlaubt es entfernten, nicht authentifizierten Angreifern, speziell manipulierte ASN.1-Strukturen einzuschleusen und die interne Schema-Validierung zu „desynchronisieren“. Dadurch können sicherheitskritische Felder wie digitale Signaturen, MACs oder Integritätsprüfungen fehlerhaft interpretiert oder komplett übergangen werden.

Read More

Wiener Forscher decken massive WhatsApp-Datenschutzlücke auf

Informatikerinnen der Universität Wien und SBA Research haben eine gravierende Schwachstelle im Contact-Discovery-Mechanismus von WhatsApp entdeckt, die globale Nutzerinnen-Enumeration ermöglichte. Durch extrem hohe Abfrageraten konnten die Forschenden mehr als 3,5 Milliarden aktive WhatsApp-Konten weltweit identifizieren, inklusive Metadaten wie Telefonnummer, öffentlicher Schlüssel, Zeitstempel und – sofern freigegeben – Profilbild oder About-Text.

Read More