-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GeoNetwork door OpenGeo
Advisory ID     : NCSC-2026-0343
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-57582, CVE-2026-58400, CVE-2026-63219
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Control of Generation of Code ('Code
                  Injection')
                  Use of Externally-Controlled Input to Select Classes
                  or Code ('Unsafe Reflection')
                  Missing Authorization
Uitgiftedatum   : 20260907
Toepassing      : Open Source GeoNetwork
                  geonetwork core-geonetwork
Versie(s)       :
Platform(s)     :

Beschrijving
   OpenGeo heeft meerdere kwetsbaarheden verholpen in GeoNetwork, een
   open-source catalogusapplicatie, specifiek in versies 4.4.5 tot en
   met 4.4.11 en versies voorafgaand aan 4.4.12 en 4.2.17.

   De eerste kwetsbaarheid betreft een reflected cross-site scripting
   (XSS) in de publieke, niet-geauthenticeerde cataloguszoekfunctie. Dit
   wordt veroorzaakt door onvoldoende sanering van de uiconfig
   queryparameter, waardoor een aanvaller JavaScript kan injecteren en
   uitvoeren in de browsercontext van gebruikers. De tweede
   kwetsbaarheid betreft een onveilige configuratie van de XSLT-
   processor die het mogelijk maakt voor gebruikers met uploadrechten om
   willekeurige besturingssysteemcommando's uit te voeren via geüploade
   .xsl-bestanden. De derde kwetsbaarheid betreft een onbeveiligde API-
   endpoint die het mogelijk maakt voor niet-geauthenticeerde aanvallers
   om willekeurige .xsl- of .zip-bestanden te uploaden, wat
   ongeautoriseerde schrijfrechten op de server kan veroorzaken en
   mogelijk leidt tot servercompromittering.

Mogelijke oplossingen
   OpenGeo heeft updates uitgebracht in GeoNetwork versies 4.4.12 en
   4.2.17 die deze kwetsbaarheden verhelpen. Zie bijgevoegde referenties
   voor meer informatie.

   Referenties:
      Reference
      https://docs.geonetwork-opensource.org/4.2/overview/change-
      log/version-4.2.17

      Reference
      https://docs.geonetwork-opensource.org/4.4/overview/change-
      log/version-4.4.12

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=cEPY
-----END PGP SIGNATURE-----