Kerngegevens
- Leverancier
- Geoserver
- Product
- GeoServer
- Soort software
- –
- Getroffen versies
- GeoServer 2.26.0 tot 2.26.2, en alle versies ouder dan 2.25.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- GeoServer 2.25.6
- GeoServer 2.26.3
- GeoServer 2.27.0
- CVE gepubliceerd
- 25 november 2025
- Op de KEV-lijst sinds
- 11 december 2025
- Gepubliceerd op LekkenRadar
- 18 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
GeoServer is open source serversoftware om geografische gegevens te delen en te bewerken. In de functie GetMap van de WMS-dienst controleert GeoServer XML-invoer niet goed genoeg. Daardoor kan een aanvaller in het verzoek externe entiteiten opnemen (een XXE-fout). Het lek staat sinds december 2025 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je een GeoServer draait in een getroffen versie: 2.26.0 tot 2.26.2, of een versie ouder dan 2.25.6. De aanvaller hoeft niet in te loggen en heeft geen hulp van een gebruiker nodig. Een aanval kan via het netwerk, dus een GeoServer die bereikbaar is vanaf internet is het meest kwetsbaar. GeoServer wordt vaak gebruikt door gemeenten, waterschappen en ingenieursbureaus voor kaartdiensten.
Wat moet je doen?
Controleer of je GeoServer gebruikt
Ga na waar in je organisatie GeoServer draait en welke versie dat is. Kijk ook naar installaties die iemand anders heeft opgezet, bijvoorbeeld voor kaartdiensten of testomgevingen.
Werk GeoServer bij
Installeer een versie waarin het lek is opgelost: GeoServer 2.25.6, 2.26.3 of 2.27.0. Kies de versie die bij je huidige reeks past.
Beperk de blootstelling als je niet direct kunt bijwerken
Zorg dat GeoServer, en zeker het adres /geoserver/wms, niet onnodig vanaf internet bereikbaar is. Volg verder het advies van de leverancier.
Lees het advies van de leverancier
Het beveiligingsadvies van GeoServer op GitHub bevat de details over dit lek en de opgeloste versies. Gebruik dat als leidraad voor je aanpak.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het endpoint /geoserver/wms, bij de operatie GetMap. De applicatie verwerkt XML-invoer zonder die voldoende te filteren of te beperken. Een aanvaller kan daardoor externe entiteiten definiëren in het XML-verzoek. Dit is een XML External Entity-kwetsbaarheid (CWE-611). Volgens de CVSS-vector (3.1) is de aanval via het netwerk uit te voeren, zonder authenticatie en zonder gebruikersinteractie, met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De fout is verholpen in GeoServer 2.25.6, 2.26.3 en 2.27.0.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-611 · Onjuiste beperking van verwijzingen naar externe XML-entiteiten (XXE)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 60,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 11 december 2025
- Deadline van CISA
- 1 januari 2026
- Gebruikt door ransomwaregroepen
- Niet bekend