CVE-2026-39379
GeoNetwork: Reflected XSS through client-side template injection
CVSS 3.1Medium
7.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите GeoNetwork до версии 4.2.15 или 4.4.10.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В GeoNetwork обнаружен внедрение выражений клиентских шаблонов AngularJS, приводящий к межсайтовому скриптингу (Reflected XSS). Уязвимость позволяет выполнить произвольный JavaScript-код в браузере жертвы.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При запросе несуществующего или неавторизованного URL сервиса страница ошибки отображает контролируемые злоумышленником данные внутри AngularJS-приложения без достаточной нейтрализации. Удалённый атакующий может склонить пользователя, включая администратора, перейти по вредоносной ссылке, в результате чего шаблонное выражение выполняется в контексте приложения с возможностью обхода песочницы AngularJS.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Выполнение произвольного JavaScript-кода в аутентифицированной сессии браузера жертвы, раскрытие информации или выполнение действий от имени жертвы.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2v4m-fw6c-g78f
- github.comhttps://github.com/geonetwork/core-geonetwork/commit/5cacdfaa6db88ef6787495b496a0871c0058b7f4
- github.comhttps://github.com/geonetwork/core-geonetwork/commit/dd99c2ffb642f89b8bf72bafd04d824c9fc0d0ef
- github.comhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.2.15
- github.comhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.4.10
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-39379: GeoNetwork: Reflected XSS through client-side template injection. URL: https://cve.futuretools.ru/cve/CVE-2026-39379
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_39379,
title = {{CVE-2026-39379: GeoNetwork: Reflected XSS through client-side template injection}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-39379}},
note = {Оперативный инженерный анализ киберугроз}
}