CVE.futuretools
FAQ
NVD NIST
CVE-2026-55848

mapfish-print: XXE on MapFish Print allows reading arbitrary files of certain types

CVSS 3.1High
8.6/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.28.30, 3.30.32, 3.31.24, 3.33.16, 4.0.5
Обновить mapfish-print до версий 3.28.30, 3.30.32, 3.31.24, 3.33.16, 4.0.5 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

XXE-уязвимость в mapfish-print при обработке внешних GML-слоев. Приводит к несанкционированному чтению локальных файлов сервера неаутентифицированным атакующим.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Эндпоинт /api/print3/print принимает внешний URL слоя GML, парсинг которого в org.mapfish.print.map.geotools.GmlLayer выполняется без отключения внешних сущностей (external entities) и внешних DTD.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

LFI и утечка конфиденциальных данных: чтение системных файлов, токенов сервисных учетных записей Kubernetes и SSL-сертификатов через ответы сервиса и трассировку ошибок.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

mapfishmapfish-print
>= 3.0.0➔Fix: 3.28.30
mapfishmapfish-print
>= 3.29.0➔Fix: 3.30.32
mapfishmapfish-print
>= 3.31.0➔Fix: 3.31.24
mapfishmapfish-print
>= 3.32.0➔Fix: 3.33.16
mapfishmapfish-print
>= 4.0.0➔Fix: 4.0.5
mapfishorg.mapfish.print.print-lib
>= 3.0.0➔Fix: 3.28.30
mapfishorg.mapfish.print.print-lib
>= 3.29.0➔Fix: 3.30.32
mapfishorg.mapfish.print.print-lib
>= 3.31.0➔Fix: 3.31.24
mapfishorg.mapfish.print.print-lib
>= 3.32.0➔Fix: 3.33.16
mapfishorg.mapfish.print.print-lib
>= 4.0.0➔Fix: 4.0.5
mapfishorg.mapfish.print.print-servlet
>= 3.0.0➔Fix: 3.28.30
mapfishorg.mapfish.print.print-servlet
>= 3.29.0➔Fix: 3.30.32
mapfishorg.mapfish.print.print-servlet
>= 3.31.0➔Fix: 3.31.24
mapfishorg.mapfish.print.print-servlet
>= 3.32.0➔Fix: 3.33.16
mapfishorg.mapfish.print.print-servlet
>= 4.0.0➔Fix: 4.0.5
——
>= 3.0.0➔Fix: 3.28.30
——
>= 3.0.0➔Fix: 3.28.30
——
>= 3.29.0➔Fix: 3.30.32
——
>= 3.29.0➔Fix: 3.30.32
——
>= 3.31.0➔Fix: 3.31.24
——
>= 3.32.0➔Fix: 3.33.16
——
>= 3.32.0➔Fix: 3.33.16
——
>= 3.34.0➔Fix: 4.0.5
——
>= 3.34.0➔Fix: 4.0.5

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (17)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-55848: mapfish-print: XXE on MapFish Print allows reading arbitrary files of certain types. URL: https://cve.futuretools.ru/cve/CVE-2026-55848
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_55848,
  title = {{CVE-2026-55848: mapfish-print: XXE on MapFish Print allows reading arbitrary files of certain types}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-55848}},
  note = {Оперативный инженерный анализ киберугроз}
}