GeoWebPlayer (also called "Web Plugin" in the GV-VMS documentation and "WS Player" for VMS-Cloud)...
Résumé
Faille signalée : vulnérabilité (CVE-2026-13125). Des informations confidentielles peuvent être exposées. Exploitable via create.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
GeoWebPlayer (also called "Web Plugin" in the GV-VMS documentation and "WS Player" for VMS-Cloud) is an addon that can be installed with various GeoVision software (GV-VMS, GV-Cloud, ...). It creates a websocket server that expands the capabilities of the various web-interfaces provided by the GeoVision software and may be necessary for them to function properly.
In order to access the websocket server, no authentication is required. As such, any malicious website can attempt to open a connection to the server and potentially access sensitive APIs. In particular, it's possible to call a combination of the create method and getScreenCapture to retrieve the content of the user's screen.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-13125 a été découverte dans websocket.
Des attaquants peuvent cibler un point d'entrée spécifique comme create à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « websocket CVE-2026-13125 » sur le site de l'éditeur.
CVE-2026-13125 (websocket) — CWE-306 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : create / getScreenCapture
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
GeoWebPlayerのWebSocketサーバーへの認証なしアクセスの脆弱性。
GeoVisionソフトウェア（GV-VMS、GV-Cloud）で用いられるWebSocketサーバー。
ユーザーのスクリーンキャプチャを取得される可能性があるため、情報漏洩のリスクが高い。
WebSocketサーバーへの認証メカニズムを実装してアクセス制限を強化する。
情報なし
ウェブトラフィックを監視し、不正なWebSocket接続の試行を検出する。
Références
- web geovision.com.tw
- web talosintelligence.com
- web nvd.nist.gov
- web github.com