CVE-2026-33050 Inyección de comandos del sistema en GeoNode vía nombre de capa subida
En GeoNode, antes de 5.1.0, un nombre de capa de archivo vectorial manipulado que se suministra durante la carga permite a un usuario remoto con bajos privilegios inyectar sintaxis de shell y ejecutar comandos arbitrarios del sistema operativo en el servidor de GeoNode. Corregido en 5.1.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 51
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
GeoNode geonode
< 5.1.0
Qué hacer
- Verificá si usás geonode y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
GeoNode is a geospatial content management system, a platform for the management and publication of geospatial data. Prior to 5.1.0, a crafted vector file layer name supplied during upload allows a low-privileged remote user to inject shell syntax and execute arbitrary operating-system commands on the GeoNode server. This issue is fixed in version 5.1.0.
Referencias (3)
Historial (2)
- VULNERABILIDADNueva vulnerabilidad detectada.
- EXPLOIT PÚBLICOSe publicó federiconbaez/cortex9-geonode-layer-name-command-injection-model.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.