CVE-2026-55178
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
GeoLens to hostowany samodzielnie katalog danych geoprzestrzennych z wyszukiwaniem semantycznym, interfejsami API OGC i STAC oraz narzędziem do tworzenia map. Przed wersją 1.2.3 wiele punktów końcowych odczytu i łącza autoryzuje tylko zasób wymieniony w adresie URL żądania i nie autoryzuje ponownie drugiego zestawu danych, na który ma wpływ osoba wywołująca, osiągniętego poprzez relację, warstwę mapy, źródło VRT, wyszukiwanie identyfikatora zewnętrznego lub treść żądania. Gdy mapa publiczna odwołuje się do prywatnego zbioru danych, anonimowe obiekty wywołujące mogą użyć GET /maps/{id} i GET /maps/{id}/style.json w celu uzyskania metadanych warstwy prywatnej, próbkowanych wartości lub kafelków wektorowych. Odpowiedź stylu może ujawnić odtwarzalny adres URL kafelka HMAC, który nie jest powiązany ani z użytkownikiem, ani z mapą. Gdy publiczny zbiór danych źródłowych ma relację z prywatnym docelowym zbiorem danych, anonimowe obiekty wywołujące mogą używać interfejsów API relacji zestawu danych do wyliczania relacji i odczytywania wierszy z tabeli pomocniczej prywatnego celu. Anonimowi wywołujący mogą również używać GET /collections/datasets/items z identyfikatorem UUID zestawu danych externalId w celu uzyskania metadanych dla dowolnego prywatnego, zastrzeżonego lub niepublikowanego zestawu danych, ponieważ to wyszukiwanie nie sprawdza widoczności. Uwierzytelnieni użytkownicy z domyślną rolą edytora mogą wkomponować prywatny raster innego użytkownika w posiadany VRT i odczytać jego piksele, a POST /ai/metadata/{summary,keywords,lineage,quality-statement} akceptuje kontrolowany przez treść dataset_id bez sprawdzania widoczności i zwraca prywatne metadane i przykładowe wartości. Istniejące wcześniej linki vrt_source_links również ujawniają metadane i stan zdrowia nieautoryzowanych członków, chyba że każdy członek zostanie odfiltrowany w czasie odczytu. Ścieżki te mogą ujawniać geometrię wektorową i atrybuty, piksele rastrowe, wiersze tabeli, nazwy tabel, schematy kolumn, liczbę obiektów, zakresy, źródłowe adresy URL i nazwy plików, kontakty i wartości próbkowanych wierszy. Ten problem został rozwiązany w wersji 1.2.3.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/geolens-io/geolens/commit/01bc87da03a5ecd0322c42388f4bfced7cb2ed06
- https://github.com/geolens-io/geolens/commit/07dfb1c63ecfc065c0c47b7718ec6ebe97798b1e
- https://github.com/geolens-io/geolens/commit/2c031da8e753639ff0e36d47ca05bbb96fbe4a9e
- https://github.com/geolens-io/geolens/commit/31a103b96b9fd6ad90308b3e27a581852c4a69bd
- https://github.com/geolens-io/geolens/commit/407c068836058fdeca6bb477d39f841316b326a5
- https://github.com/geolens-io/geolens/pull/234
- https://github.com/geolens-io/geolens/pull/235
- https://github.com/geolens-io/geolens/pull/236
- https://github.com/geolens-io/geolens/pull/237
- https://github.com/geolens-io/geolens/pull/238
- https://github.com/geolens-io/geolens/releases/tag/v1.2.3
- https://github.com/geolens-io/geolens/security/advisories/GHSA-p23g-mvhj-jh3j
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org