GeoNode contains a server-side request forgery vulnerability in the service registration endpoint
GeoNode versions 4.4.5 and 5.0.2 (and prior within their respective releases) contain a server-side request forgery vulnerability in the service registration endpoint that allows authenticated attackers to trigger outbound network requests to arbitrary URLs by submitting a crafted service URL during form validation. Attackers can probe internal network targets including loopback addresses, RFC1918 private IP ranges, link-local addresses, and cloud metadata services by exploiting insufficient URL validation in the WMS service handler without private IP filtering or allowlist enforcement.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | geonode | >= 4.0.0, < 4.4.5, >= 5.0.0, < 5.0.2 | 4.4.5, 5.0.2 |
Odnośniki
- https://github.com/GeoNode/geonode/security/advisories/GHSA-hw9r-6m78-w6h3
- https://www.vulncheck.com/advisories/geonode-ssrf-via-service-registration
- https://nvd.nist.gov/vuln/detail/CVE-2026-39922
- https://github.com/GeoNode/geonode
- https://github.com/GeoNode/geonode/releases/tag/4.4.5
- https://github.com/GeoNode/geonode/releases/tag/5.0.2
- https://github.com/pypa/advisory-database/tree/main/vulns/geonode/PYSEC-2026-61.yaml
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L- Słabość (CWE)
CWE-918- Platforma
- Python (PyPI)
- Paczka
geonode- Ujawniono
- 10.04.2026
- Aktualizacja
- 11.10.2026 12:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-61 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-hw9r-6m78-w6h3 - CC BY 4.0
Historia podatności: geonode
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 02.2023 04.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 3
- Średnia 3
Ujawnienia w latach
- 2023: 3
- 2024: 1
- 2025: 0
- 2026: 2
-
GeoNode contains a server-side request forgery vulnerability in the service registration endpoint ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.