Injection SQL dans org.geotools.jdbc:gt-jdbc-postgis (CVE-2026-76904)
Résumé
Injection SQL dans org.geotools.jdbc:gt-jdbc-postgis (CVE-2026-76904). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via jsonArrayContains. Atténuation : mise à jour vers 33.6 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An SQL Injection Vulnerability has been found when executing OGC Filters with PostGIS DataStore implementation:
jsonArrayContainsfunction
Requires PostGIS 12 or greater with a String or JSON field
For PostGIS 12 and greater jsonArrayContains(, , ) function writes `` into generated SQL without escaping.
Patches
- GeoTools 35.1
- GeoTools 33.5
- GeoTools 34.4
Mitigation
No mitigation is available:
- To limit scope of SQL Injection the PostGIS connection pool should be configured with limited rights.
Impact
This vulnerability can lead to execution of arbitrary SQL expressions in the database.
References
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-76904 a été découverte dans org.geotools.jdbc:gt-jdbc-postgis.
Des attaquants peuvent cibler un point d'entrée spécifique comme jsonArrayContains à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : mettez à jour org.geotools.jdbc:gt-jdbc-postgis vers 33.6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « org.geotools.jdbc:gt-jdbc-postgis CVE-2026-76904 » sur le site de l'éditeur.
CVE-2026-76904 (org.geotools.jdbc:gt-jdbc-postgis) — CWE-89 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : jsonArrayContains
Correctif : 33.6 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection SQL (CWE-89) affecte org.geotools.jdbc:gt-jdbc-postgis. Les attaquants atteignent le code vulnérable via jsonArrayContains sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de org.geotools.jdbc:gt-jdbc-postgis. Surface d'attaque : jsonArrayContains.
Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 33.6.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで org.geotools.jdbc:gt-jdbc-postgis を使っているサービスとバージョンを洗い出す。
-
2Apply patch patch
Upgrade org.geotools.jdbc:gt-jdbc-postgis to 33.6ステージング環境で 33.6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web osgeo-org.atlassian.net
- web osgeo-org.atlassian.net
- web osgeo-org.atlassian.net
- web github.com