Die Angriffskette kombiniert eine fehlende Berechtigungsprüfung mit einer unsicher konfigurierten Transformationsengine. Die erste Lücke, CVE-2026-63219 (CVSS-Wert 8.6), betrifft den Endpunkt zum Hochladen von Formattern: Dort fehlt die Autorisierungsprüfung vollständig. „Ein nicht authentifizierter Angreifer kann beliebige .xsl- oder .zip-Formatter-Dateien auf den Server hochladen“, heißt es in der Sicherheitsmitteilung des Projekts. Bereits für sich genommen bedeutet das unbefugten Schreibzugriff auf den Serverspeicher, konkret auf das Formatter-Verzeichnis von GeoNetwork.
Die zweite Schwachstelle, CVE-2026-58400 (CVSS-Wert 9.1), liegt in der Konfiguration des Saxon-XSLT-Prozessors, der die Formatter rendert. Weil die Engine unsicher konfiguriert ist, kann jedes von ihr geladene Stylesheet java.lang.Runtime.exec() oder java.lang.ProcessBuilder aufrufen und damit Betriebssystembefehle unter dem Benutzerkonto des GeoNetwork-Prozesses ausführen.
Isoliert betrachtet setzt dieser zweite Fehler Rechte zum Hochladen eines Formatters voraus – deshalb wird er mit hohen benötigten Privilegien bewertet. Die Verkettung mit der Upload-Lücke hebt diese Voraussetzung auf, da der Upload ohne Anmeldung erreichbar ist. Praktisch lädt ein Angreifer zunächst einen präparierten Formatter über den ungeschützten Endpunkt hoch; eine anschließende GET-Anfrage auf einen öffentlichen Datensatz bringt die Saxon-Engine dazu, das Stylesheet auszuführen – und liefert damit die Codeausführung.
Nach Angaben von Ethiack ist die Kette ab Version 4.0.6 erreichbar. Damals wurde der Formatter-Endpunkt umgebaut, wobei die Zeile mit der Autorisierungsprüfung entfiel.
„Allen Nutzern wird dringend empfohlen, so schnell wie möglich auf 4.4.12 oder 4.2.17 zu aktualisieren“, schreibt das Projekt in seiner Release-Ankündigung. Wer das Update noch nicht einspielen kann, soll schreibende HTTP-Methoden auf den Formatter-Endpunkt am Reverse Proxy blockieren – mit der Nebenwirkung, dass damit auch legitime Formatter-Uploads über die Administrationsoberfläche unterbunden werden. Entsprechende Übergangsregeln listet die Sicherheitsmitteilung auf.
Hinweise auf tatsächliche Angriffe gibt es bislang nicht: The Hacker News fand zum Zeitpunkt der Veröffentlichung keinen Eintrag zu den GeoNetwork-Lücken im KEV-Katalog der US-Behörde CISA und keine öffentlichen Berichte über Ausnutzung in freier Wildbahn.
Die Offenlegung reiht sich in eine Serie von Sicherheitsproblemen im weiteren Geodaten-Umfeld ein. Im vergangenen Jahr wurde eine kritische GeoServer-Schwachstelle (CVE-2024-36401, CVSS-Wert 9.8) für Botnetze, Kryptomining und die Hintertür SideWalk ausgenutzt. Eine XXE-Lücke in GeoServer (CVE-2025-58360) nahm CISA im Dezember 2025 nach Belegen für aktive Ausnutzung in den KEV-Katalog auf. Zuletzt wurde eine als GeoServer-Zero-Day offengelegte, unauthentifizierte SQL-Injection mit Weg zur Codeausführung kurz nach ihrer Veröffentlichung aktiv abgeklopft.