GHSA-8mc9-fhgx-fwcj代理允许列表绕过
包含允许主机名的特制 URL 可通过 /proxy/ 访问其他目标，并返回上游响应。
GeoNode 代理绕过可访问内网服务，矢量上传可执行服务器命令
GeoNode 披露了 7 项漏洞。代理允许列表可被绕过并返回内网 HTTP 响应，矢量上传还存在命令注入。代理漏洞公告已公开概念验证。
- 披露时间
- 2026年11月5日
- 公开披露日期
- 严重程度
- CVSS 8.8 × 1
- 本页收录 7 个 CVE
- 波及范围
- 暴露受影响代理的 GeoNode 部署，以及允许用户上传矢量数据、文档或其他资产的部署。
- GeoNode · SSRF · RCE · GIS
- 在野利用
- 未知
- 代理绕过和资产文件读取均已有公开概念验证。公告未确认在野利用。
发生了什么
GeoNode 用于发布地图、数据集和文档。代理转发请求前会检查允许列表。公开示例把一个获准的主机名嵌入特制 URL，使代理连接到其他目标并返回其 HTTP 响应。攻击者需要能够访问代理，并知道该部署允许的一个主机名。另一项缩略图抓取漏洞可让有权上传远程文档的已登录用户向内网目标发起请求。
有权上传矢量数据的用户可以通过图层名改变导入进程执行的命令。CNA 记录列出了 5.1.0，5.0.3 标签中的导入代码也已改用参数列表启动转换进程，并禁用 shell 执行。项目仓库的原始公告仍未列出该漏洞的修复版本。
这批公告还包括跨用户读取本地资产文件、两项浏览器脚本漏洞和上传校验绕过。文档存储型 XSS 的仓库公告列出 5.0.1，CNA 记录和元数据清理的回移补丁则支持以 5.0.3 为升级目标。GeoStory 公告列出的 4.4.5 和 5.0.2 只修复该客户端漏洞。运行旧版本或独立打包客户端的站点应核实已部署客户端是否包含 GeoStory 修复，并计划升级 GeoNode 以修补服务器漏洞。
上述 CVE 对应的厂商公告为 GHSA-9fpx-fr6j-2vh6、GHSA-q88x-rvm8-wxp4、GHSA-r4hm-p9f9-fj9v和 GHSA-fqpv-mq26-pr4j。
马桶里有什么
CVE-2026-33050CVSS 8.8矢量上传命令注入
有矢量上传权限的低权限用户可在图层名中插入 shell 语法，以服务端导入进程的权限执行命令。
CVE-2026-65830CVSS 6.5跨用户读取资产文件
已登录的资产所有者可利用资产下载链接中的路径穿越读取其他用户的本地资产文件。
GHSA-hw9r-6m78-w6h3CVSS 5.3文档缩略图 SSRF
有权添加远程文档的已登录用户可诱使服务器向回环地址或其他内网服务发起请求。
CVE-2026-55649CVSS 6.3文档元数据存储型 XSS
用户查看受影响内容时，文档摘要中的脚本可能在浏览器中执行。
GHSA-7vj5-f7gq-96m5CVSS 8.7GeoStory DOM 型 XSS
低权限攻击者可在受影响的 MapStore2 客户端中植入浏览器脚本，利用需要受害者与特制内容交互。
CVE-2026-46429CVSS 5.5不受限制的文件上传
特制上传请求可绕过校验，使 GeoNode 存储并提供恶意文件。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| GeoNode 5.0.x | 5.0.3 | 已修复本批漏洞 |
| GeoNode 5.1.x | 5.1.0 | 已修复本批漏洞 |
案发时间线
2026年8月18日
GeoNode 发布 5.0.3 和 5.1.0
2026年11月5日
维护者发布 7 份安全公告
2026年11月6日
矢量命令注入、文件上传和元数据 XSS 的 CVE 记录发布
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- GeoNode 安全公告索引一手来源汇总 7 份披露及各自的利用条件和受影响版本。
- GeoNode 代理漏洞公告一手来源记录允许列表绕过、公开复现和 5.0.3 修复版本。
- GeoNode 矢量导入补丁一手来源停止向 shell 传递可受用户输入影响的命令字符串。
- GeoNode 5.0.3 发布说明一手来源发布包含修复的 5.0.x 版本。
- GeoNode 5.1.0 发布说明一手来源发布包含修复的 5.1 版本。