Media

GeoNode: Stored XSS to full account takeover

Publicada: 27.03.2024
Actualizado: 11.10.2026 14:18

An issue exists within GEONODE where the current rich text editor is vulnerable to Stored XSS. The applications cookies are set securely, but it is possible to retrieve a victims CSRF token and issue a request to change another user's email address to perform a full account takeover. Due to the script element not impacting the CORS policy, requests will succeed.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	geonode	>= 3.2.1, < 4.2.3	4.2.3

Referencias

Puntuación CVSS 6.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE): CWE-79
Plataforma: Python (PyPI)
Paquete: geonode
Publicada: 27.03.2024
Actualizado: 11.10.2026 14:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-320 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-rwcv-whm8-fmxm - CC BY 4.0

Historial de vulnerabilidades: geonode

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 6
Primera → última: 02.2023 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 3
Media 3

Divulgaciones por año

2023: 3
2024: 1
2025: 0
2026: 2

10.04.2026

GeoNode versions 4.0 before 4.4.5 and 5.0 before 5.0.2 contain a server-side request forgery vulnerability that allows authenticated users with document upload permissions to trigger arbitrary outboun

Media · 6.3 CVE-2026-39921 >= 4.0.0, < 4.4.5, >= 5.0.0, < 5.0.2 4.4.5, 5.0.2
10.04.2026

GeoNode contains a server-side request forgery vulnerability in the service registration endpoint

Media · 6.3 CVE-2026-39922 >= 4.0.0, < 4.4.5, >= 5.0.0, < 5.0.2 4.4.5, 5.0.2
27.03.2024

GeoNode: Stored XSS to full account takeover esta entrada

Media · 6.1 CVE-2024-27091 >= 3.2.1, < 4.2.3 4.2.3
15.09.2023

GeoNode vulnerable to SSRF Bypass to return internal host data

Alta · 7.5 CVE-2023-42439 >= 3.2.0, < 4.1.3.post1 4.1.3.post1
24.08.2023

GeoNode Server Side Request forgery

Alta · 7.5 CVE-2023-40017 >= 3.2.0, < 4.2.0 4.2.0
27.02.2023

GeoServer style upload functionality vulnerable to XML External Entity (XXE) injection

Alta · 6.5 CVE-2023-26043 < 4.0.3 4.0.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación