文章总结： 本文档详细介绍了GeoServerXML外部实体注入漏洞CVE-2025-58360。该漏洞位于/geoserver/wms端点的GetMap操作处，攻击者可利用恶意XML读取敏感信息或造成拒绝服务。影响版本包括小于2.25.6及2.26.0至2.26.2。目前POC已公开，建议用户立即更新至安全版本以修复漏洞。
综合评分： 80
文章分类： 漏洞分析,漏洞预警,WEB安全,漏洞POC
【已复现】GeoServer XML外部实体注入漏洞(CVE-2025-58360)
原创
Cupid
千寻安服
2025年11月26日 14:42
四川
内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的POC信息及POC对应脚本而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号千寻安服及作者不为此承担任何责任，一旦造成后果请自行承担！
>>>>
影响组件
GeoServer是一款开源的服务器，用于共享和编辑地理空间数据。它支持多种地图和数据标准，如WMS、WFS、WCS等，广泛应用于地理信息系统（GIS）领域，帮助用户发布和管理地理数据。
>>>>
漏洞描述
近日，监测到官方修复GeoServer XML外部实体注入漏洞(CVE-2025-58360)，该漏洞源于 /geoserver/wms 端点的 GetMap 操作在接收 XML 请求时未对外部实体引用进行充分限制。攻击者可以利用该漏洞，通过构造恶意的XML 数据注入外部实体，从而读取服务器上的敏感信息或导致拒绝服务。目前该漏洞PoC已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
>>>>
影响版本
GeoServer < 2.25.62.26.0 <= GeoServer < 2.26.2
>>>>
复现过程
利用如下所示：
处置建议>>>>
安全更新
官方已发布安全补丁，请及时更新至最新版本：
GeoServer 2.25.* >= 2.25.6
GeoServer 2.26.* >= 2.26.2
GeoServer >= 2.27.0
GeoServer >= 2.28.0
下载地址：
https://github.com/geoserver/geoserver/releases
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：千寻安服 Cupid《【已复现】GeoServer XML外部实体注入漏洞(CVE-2025-58360)》