Średnia

GeoNode: Stored XSS to full account takeover

Ujawniono: 27.03.2024
Aktualizacja: 11.10.2026 14:18

An issue exists within GEONODE where the current rich text editor is vulnerable to Stored XSS. The applications cookies are set securely, but it is possible to retrieve a victims CSRF token and issue a request to change another user's email address to perform a full account takeover. Due to the script element not impacting the CORS policy, requests will succeed.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	geonode	>= 3.2.1, < 4.2.3	4.2.3

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: Python (PyPI)
Paczka: geonode
Ujawniono: 27.03.2024
Aktualizacja: 11.10.2026 14:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2024-320 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-rwcv-whm8-fmxm - CC BY 4.0

Historia podatności: geonode

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 02.2023 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 3
Średnia 3

Ujawnienia w latach

2023: 3
2024: 1
2025: 0
2026: 2

10.04.2026

GeoNode versions 4.0 before 4.4.5 and 5.0 before 5.0.2 contain a server-side request forgery vulnerability that allows authenticated users with document upload permissions to trigger arbitrary outboun

Średnia · 6.3 CVE-2026-39921 >= 4.0.0, < 4.4.5, >= 5.0.0, < 5.0.2 4.4.5, 5.0.2
10.04.2026

GeoNode contains a server-side request forgery vulnerability in the service registration endpoint

Średnia · 6.3 CVE-2026-39922 >= 4.0.0, < 4.4.5, >= 5.0.0, < 5.0.2 4.4.5, 5.0.2
27.03.2024

GeoNode: Stored XSS to full account takeover ten wpis

Średnia · 6.1 CVE-2024-27091 >= 3.2.1, < 4.2.3 4.2.3
15.09.2023

GeoNode vulnerable to SSRF Bypass to return internal host data

Wysoka · 7.5 CVE-2023-42439 >= 3.2.0, < 4.1.3.post1 4.1.3.post1
24.08.2023

GeoNode Server Side Request forgery

Wysoka · 7.5 CVE-2023-40017 >= 3.2.0, < 4.2.0 4.2.0
27.02.2023

GeoServer style upload functionality vulnerable to XML External Entity (XXE) injection

Wysoka · 6.5 CVE-2023-26043 < 4.0.3 4.0.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację